如何在JMeter中通过SOAP登录SalesForce并模拟OAuth2授权流程？

我来帮你一步步搞定这两个Salesforce登录的JMeter模拟问题：

• 准备基础配置
  Salesforce的SOAP登录接口使用固定格式的Endpoint，比如https://login.salesforce.com/services/Soap/u/59.0（59.0是API版本，你可以换成当前最新的稳定版）。先在JMeter里添加一个「SOAP/XML-RPC Request」取样器，请求方法选POST。

• 构造SOAP请求体
  在取样器的请求内容里填入以下XML（替换成你的真实账号信息）：

  <?xml version="1.0" encoding="utf-8"?>
  <soapenv:Envelope xmlns:soapenv="http://schemas.xmlsoap.org/soap/envelope/" xmlns:urn="urn:partner.soap.sforce.com">
    <soapenv:Header>
      <urn:LoginScopeHeader>
        <urn:organizationId>你的组织ID（可选，不需要可以删掉这个节点）</urn:organizationId>
      </urn:LoginScopeHeader>
    </soapenv:Header>
    <soapenv:Body>
      <urn:login>
        <urn:username>你的Salesforce用户名</urn:username>
        <urn:password>你的密码+安全令牌</urn:password>
      </urn:login>
    </soapenv:Body>
  </soapenv:Envelope>
  

  划重点：Salesforce登录密码是明文密码+安全令牌的组合，如果你没安全令牌，可以去Salesforce账号设置里重新生成。

• 配置请求头
  添加一个「HTTP Header Manager」，设置两个关键头：

  • Content-Type：text/xml; charset=utf-8
  • SOAPAction：""（注意是空字符串，要加引号）

• 提取登录后凭证
  登录成功后，响应里会返回sessionId和serverUrl，这是后续调用Salesforce接口的关键。你可以用「XPath Extractor」提取，比如提取sessionId的XPath表达式是：//sessionId/text()

这个流程本来需要浏览器交互，但JMeter可以通过模拟HTTP请求来完成，步骤如下：

• 第一步：获取授权页面的表单参数
  添加「HTTP Request」取样器，发送GET请求到你提供的授权URL：
  https://login.salesforce.com/services/oauth2/authorize?response_type=code&client_id=ABC&redirect_uri=http://localhost:3001/callback_URL&state=5abe9eb7b39bae29fcc2dcf9
  然后用「CSS Selector Extractor」提取页面里的隐藏CSRF令牌（通常name是_csrf），以及登录表单的提交地址（一般是https://login.salesforce.com/）。

• 第二步：模拟用户登录提交
  新增「HTTP Request」取样器，发送POST请求到登录地址，参数要包含：

  • username：你的Salesforce用户名
  • password：你的密码+安全令牌
  • _csrf：上一步提取的CSRF令牌
  • startURL：从授权页面的表单里找到的隐藏字段值
    记得在「HTTP Header Manager」里设置Content-Type为application/x-www-form-urlencoded。

• 第三步：提取授权码（code）
  登录成功后，Salesforce会自动重定向到你的回调URL，重定向的Location响应头里会带有code参数。用「Regular Expression Extractor」提取这个code，正则表达式可以写：code=([^&]+)

• 第四步：用授权码换取访问令牌
  最后添加「HTTP Request」取样器，发送POST请求到https://login.salesforce.com/services/oauth2/token，参数如下：

  • grant_type：authorization_code
  • client_id：你的客户端ID（就是URL里的ABC）
  • client_secret：你的客户端密钥（在Salesforce开发者平台获取）
  • redirect_uri：和授权URL里的完全一致，即http://localhost:3001/callback_URL
  • code：上一步提取的授权码
    这个请求会返回access_token和instance_url，后续调用Salesforce API时就用access_token做认证。

几个容易踩坑的点 #

• 确保redirect_uri和你在Salesforce开发者平台配置的回调URL完全一致，包括大小写、路径，差一点都会失败。
• 如果是Sandbox环境，所有登录相关的地址要换成https://test.salesforce.com，别用生产环境的地址。
• 如果你的IP在Salesforce的信任IP列表里，可能不需要加安全令牌，但不在的话必须加，否则登录会报错。

内容的提问来源于stack exchange，提问作者Bill Software Engineer