JMeter压测AWS托管dot net应用并发超2时出现403 Forbidden错误如何解决

• 云侧安全规则排查
  首先检查AWS CloudFront CDN以及关联的WAF配置：大概率是速率限制规则阈值设置过低，部分测试环境的默认规则会将单IP短时间内超过2次的请求判定为恶意访问，直接返回403。同时确认是否开启了WAF托管规则组中的爬虫防护策略，JMeter默认请求特征容易被识别为自动化爬虫拦截。
• JMeter配置校验
  单用户请求正常说明业务接口本身鉴权逻辑无问题，并发报错优先检查JMeter的请求配置：
  1. 确认是否添加了和浏览器一致的请求头，包括User-Agent、Referer字段，如果CDN配置了防盗链规则，未携带合法Referer的请求会直接被拦截
  2. 确认已添加HTTP Cookie管理器，且配置为每个线程独立存储Cookie，避免多线程复用同一份过期/非法的会话凭证触发鉴权失败
• 源站鉴权逻辑排查
  如果CDN回源需要IAM签名校验，确认JMeter侧的签名生成逻辑是否支持多并发场景，避免签名的有效请求数/有效期设置过短，导致高并发下签名失效返回403。
• 快速验证方法
  临时将CDN/WAF的速率限制阈值调整到100以上，同时给JMeter所有请求补充浏览器同款请求头后再做3并发测试，如果请求正常即可定位是云侧安全规则问题，后续根据业务实际需要调整阈值即可。

内容的提问来源于stack exchange，提问作者user14437520