如何使用Google PageSpeed Insights测量SSO登录保护的页面速度

首先要明确，原生Google PageSpeed Insights（PSI）的匿名爬虫本身没有携带身份凭证、完成SSO登录跳转流程的能力，直接请求登录拦截层后的URL时，流量会被重定向到SSO登录页，最后测出来的全是登录页的加载性能，根本不是目标视图的真实响应数据。

可落地的操作方式主要有三类，按改造成本从低到高排序：

• 方案1：采集本地带登录态的HAR文件，上传后交由PSI解析计算
  这是零系统改造成本、完全无安全风险的单页面测量方式：
  1. 打开Chrome正常走完完整SSO登录流程，确认能无拦截访问所有待测的受保护视图
  2. 打开开发者工具切到Network面板，勾选Preserve log、Disable cache选项，逐次打开每个待测页面，等所有静态资源、接口请求完全加载完成
  3. 将完整的请求会话导出为HAR格式文件，直接上传到PSI的性能计算通道，就能拿到和输入公开URL测量完全一致的性能评分、核心加载指标
     采集过程注意临时禁用无关的浏览器扩展、广告拦截插件，避免扩展篡改请求内容，拉低测量结果的真实性。
• 方案2：给PSI爬虫配置临时的受控白名单访问权限
  如果不想逐页手动采集HAR，可以协调负责SSO拦截层的运维同学，把PSI官方爬虫的固定IP段加入访问白名单，给这个IP源配置严格限定在待测视图路径范围内的只读免登录权限，绝对不能放开整个站点的匿名访问权限，避免引发生产环境的安全隐患。配置完成后，就可以像测普通公开页面一样，直接把受保护的视图URL输进PSI输入框拿检测结果，测完第一时间撤掉临时白名单权限就行。
• 方案3：搭建带凭证注入的中转层，适配长期周期性测量
  如果需要长期、定时监控多个受保护视图的加载性能，可以搭一个加密的临时中转代理：代理层收到PSI发来的页面请求时，自动在请求头注入提前配置好的合法SSO会话凭证，再把带凭证的请求转发到真实应用服务，拿到完整页面响应后再返回给PSI做性能解析。代理层要注意定期轮换注入的会话凭证，所有中转链路走全加密传输，避免有效登录凭证泄露带来的账号安全风险。

注意：所有适配操作的核心是不破坏原有SSO登录的安全机制，在可控范围内让PSI拿到目标页面的真实加载数据，切不可为了测性能临时下线全站点的登录拦截，造成生产数据泄露的风险。

内容的提问来源于stack exchange，提问作者Ravi Jangra