JMeter录制的脚本body为加密格式，该如何完成参数化？

你遇到的是金融类站点非常普遍的前端请求体整体加密防护机制，不是录制器漏抓参数：正常逻辑下，你填写的8项表单值会在点击提交的瞬间被前端JS整体拼接，通过自定义对称/非对称算法（多数为国密SM系列算法）加密为你看到的长字符串，网络传输全程不会暴露明文键值对，因此录制器抓不到Parameters分区，只能把整段密文存到Body Data里，直接重放失败也是必然——因为密文基本都绑定了动态校验值，固定密文会被服务端拦截。

核心处理思路 #

所有方案的本质都是：不要尝试解密密文，而是在本地复现前端的加密逻辑，把你要参数化的明文值传入加密流程，生成服务端可识别的合法密文作为请求体。

分步落地流程 #

第一步：定位前端加密执行逻辑 #

• 打开浏览器开发者工具的网络面板，触发一次正常的表单提交，定位到发送密文body的请求
• 顺着请求的调用栈回溯，找到触发加密的JS方法，重点确认三个信息：
  • 加密算法类型：是否为RSA、SM2、SM4这类标准算法，还是站点自定义的拼接混淆算法
  • 加密依赖的动态变量来源：是否从页面初始化接口、cookie、localStorage中获取临时公钥、一次性随机数作为加密入参
  • 密文的固定规则：比如你看到的AB000开头字符串，基本是前端自定义的密文标识头，不需要修改

第二步：按场景选择适配的参数化实现方式 #

• 临时调试场景：复用JS逻辑直接生成密文
  把定位到的加密函数整体提取为独立JS文件，在JMeter中通过JSR223 Sampler引入JS执行引擎（Groovy内置的Nashorn、Java11+适配的GraalJS均可），将你要参数化的8个表单字段值作为入参传入加密函数，把生成的密文直接赋值给HTTP请求的Body Data变量即可。如果JS执行依赖浏览器全局环境，需要手动在脚本中mock对应的window、document对象返回值，避免执行报错。
• 长期压测场景：Java重写加密逻辑
  把逆向得到的加密算法用Java代码1:1复现，打包为自定义Jar包放入JMeter的lib/ext目录，通过JSR223 Sampler直接调用Java类的加密方法生成密文。这种方式没有JS引擎的额外性能开销，更适配高并发压测场景。验证时必须用相同入参做双端比对：确认前端JS和Java逻辑生成的密文完全一致，否则哪怕单个字符的偏差都会被服务端校验拦截。
• 快速链路打通场景：浏览器层拦截替换
  不需要逆向加密逻辑，通过浏览器油猴脚本在加密逻辑执行前拦截表单的明文入参，直接替换为你要参数化的字段值，再放行加密流程发送请求。这种方式仅适合单用户调试，无法适配大规模并发。

高频踩坑注意事项 #

• 多数金融站点的密文会绑定防重放校验：比如密文内嵌当前时间戳、接口下发的一次性随机数，这种情况必须在加密流程前加前置请求，先获取对应的动态校验值，再传入加密函数生成密文，否则固定密文哪怕加密逻辑正确，也会被防重放规则拦截。
• 不要尝试硬解码采集到的密文：这类站点的加密流程基本会加入随机盐值，同一份明文每次生成的密文都不同，没有对应私钥完全无法解密，靠修改硬编码的密文字符串根本实现不了参数化。

内容的提问来源于stack exchange，提问作者Vaibhav