在 SAP 官网 `api.sap.com` 里有大量发布的 Restful API，方便合作伙伴和客户自开发应用同SAP解决方案进行集成。

![](https://img-blog.csdnimg.cn/img_convert/f5aac6ac48c5d17eaf00eff9cb820b88.png)

比如笔者最近做的一个项目，就是和国内一家专注于提供人脸识别技术解决方案的企业合作, 用户通过微信扫码从而完成人脸识别后，在用户授权的情况下，会调用SAP Marketing Cloud的contact API，生成对应的contact数据，并且将人脸识别得出的面部特征码通过Marketing Cloud扩展字段的方式一并存入contact数据中。

因为这个项目最后会在上海举行的 SAP 云大会上展示，所以当时笔者完成集成工作后心想，还是得提前测试一下咱们的 Marketing Cloud 在响应并发请求时的性能, 做到心里有数。

![](https://img-blog.csdnimg.cn/img_convert/0dace2c5951d7b097125e9ea8c02b65f.png)

我们在 SAP 上海云大会上演示的场景是，将 SAP Marketing Cloud的 Launchpad 通过大屏幕投影出来，参会嘉宾完成人脸识别后，Marketing Cloud contact创建API自动被调用，在系统生成contact数据，并且Launchpad contact tile的计数器加一。

![](https://img-blog.csdnimg.cn/img_convert/0c7253b2a09c4e8cdd0035952bb3f7d2.png)
![](https://img-blog.csdnimg.cn/img_convert/e6026f92d7691e8a43b724b250b9008d.png)

所以下一步就是如何模拟大量对Marketing Cloud API的并发请求。

对于程序员来说，最容易想到的方式就是自己动手写一个程序来发送大量请求。笔者选择的最简单的编程方式，在Java程序里新建大量线程，每个线程发送一个请求，当然也可以直接用JDK里提供的线程池库。

除了自己动手编写代码外，还可以重用一些API测试工具来达到同样的目的。Postman是一个API开发人员常用的接口调试利器，它也有定义变量和简易的编程功能：

![](https://img-blog.csdnimg.cn/img_convert/daa4a167edd58ff6915624e19287be62.png)

可以通过称之为Collection Runner的功能，一键运行Collection里的多个请求。

![](https://img-blog.csdnimg.cn/img_convert/f609360c143a217d8fa340d88e71b0fe.png)

笔者在这篇 SAP 社区博客里详细介绍过 Postman 的编程：

[Just a single click to test SAP OData Service which needs CSRF token validation](https://blogs.sap.com/2019/06/10/sap-just-a-single-click-to-test-sap-odata-service-which-needs-csrf-token-valid/)

笔者在 成都 C4C开发团队时，组内同事就告诉过我，jMeter 是另一个功能强大的基于Java的API压力测试工具。所以本文我选择用jMeter来对API做压力测试。

下文介绍的内容需要大家对jMeter的使用有最基本的了解，如果还不太熟悉的朋友，可以先查阅jMeter的官方文档。

总的思路就是使用jMeter提供的Thread Group(线程组)和控制器这两个工具。Thread Group帮助工具使用者实现了通过多线程发送HTTP请求的功能，比如下图设定的100，意思是通过100个线程同时发送请求。

![](https://img-blog.csdnimg.cn/img_convert/364dd1e5f450607b040d9ca525e81fed.png)

而涉及到对系统进行写操作的SAP API，比如新建，修改或者删除数据的SAP OData服务，在请求的HTTP头部必须附带防止跨域请求伪造攻击的CSRF token(有时又称XSRF token:Cross-site request forgery). 我们可以将从服务器获取CSRF token的请求和真正调用contact API的请求放到同一控制器里，这样能确保同一线程内，拿token和创建contact这两个请求依次执行。

![](https://img-blog.csdnimg.cn/img_convert/d259119dae73de6e84be1b5d0f2a0e0c.png)

SAP云平台的官网上有一个[帮助文档](https://cloudplatform.sap.com/scenarios/usecases/authentication.html)，对用户访问SAP云平台上的服务的Authentication流程做了清晰的阐述：

![](https://img-blog.csdnimg.cn/img_convert/84e48ad6ef46ef0620461b5386672dc7.png)

这张图描述了在Authentication场景下，几个名词User(有时称为Client), Service Provider和Identity Provider(途中简写成IdP)的相互作用关系。

虽然笔者本文介绍的场景，我用jMeter消费的是Marketing Cloud上的服务，而非SAP云平台上的服务，不过这些服务对应的Idp都是SAP ID service，即accounts.sap.com, 因此Authentication原理仍然相同。

我们牢牢记住这张图的几个步骤，因为我们接下来用jMeter消费Marketing Cloud API时，同样要遵循这种Authentication流。

我们先用Chrome访问SAP Marketing Cloud Fiori Launchpad，来深入理解图中介绍的Authentication流程。

(1) 浏览器打开SAP Marketing Cloud Fiori Launchpad链接，HTTP请求发送到了Marketing Cloud系统，后者可以视为Service Provider。

(2) Marketing Cloud把请求通过HTTP 302重定向了它预先配置好的IdP上去，即SAP ID service(也就是account.sap.com).

![](https://img-blog.csdnimg.cn/img_convert/b5d25e4ba560567e901d7980aef8c483.png)

关于什么是SAP ID service，可以查看SAP 官方帮助[文档](https://help.sap.com/viewer/65de2977205c403bbc107264b8eccf4b/Cloud/en-US/d6a8db70bdde459f92f2837349f95090.html)：

(3) IdP的职责是完成实际的用户认证工作，它给用户返回一个登录页面，要求其输入用户名和密码。

![](https://img-blog.csdnimg.cn/img_convert/14d54cf57f4a0aa02d7fc0df9b033488.png)

上图显示的是SAP ID Service的登录页面，UI虽然简单，但是这个页面的源代码里存在很多隐藏字段。

用Chrome开发者工具能够发现这些隐藏字段：

![](https://img-blog.csdnimg.cn/img_convert/c5f7caf3d397a57836f7e9e855ecec55.png)

- xsrfProtection
- spId
- spName
- authenticity_token
- idpSSOEndpoint

这些字段都是在SAP ID Service的服务器端生成，然后返回给客户端。

(4) 用户输入密码点击登录按钮后，用户输入的用户名和密码，同第三步介绍的登录页面的隐藏字段，会一齐返回给SAP ID Service服务端。可以在Chrome开发者工具里观察到这些字段位于HTTP请求头部。

![](https://img-blog.csdnimg.cn/img_convert/96faa881cbf7a05e4e931d88f5ec05a2.png)

(5) IdP完成用户认证，颁发一个"assertion"响应，值存储于HTTP响应头部的SAMLResponse字段里。

![](https://img-blog.csdnimg.cn/img_convert/0028e3b8ac696f28e9b6c3e77ba1c310.png)

这个字段的SAML表明这是一个基于SAML协议的认证过程，把上图Chrome开发者工具里观察到的SAMLResponse字段值通过BASE64解码，得到下图的XML格式的assertion内容：

![](https://img-blog.csdnimg.cn/img_convert/14221f74b811f5b22e34503322d836d4.png)

上图第一处用红色矩形框高亮的字段是assertion的状态，值为success. 因为SAP ID Service和Marketing Cloud系统配置为互相信任，所以这意味着SAP ID Service通知Marketing Cloud，这个用户的认证已经通过了。

SAML协议规范的官方文档：
http://saml.xml.org/saml-specifications

有了上述的理论基础后，进行jMeter项目的配置工作思路也就清楚了。

在jMeter里，我们按照SAP官网认证架构图的6个步骤来配置：

![](https://img-blog.csdnimg.cn/img_convert/af41915010d5bcd9cef18562fca38222.png)

(1) 使用jMeter提供的正则表达式提取器，将认证流程第3个步骤，IdP返回的登录页面的5个隐藏字段的值提取出来，存储成jMeter变量：

![](https://img-blog.csdnimg.cn/img_convert/6886a500af1611d74b33842024da5b8f.png)

下图显示了这些隐藏字段的值被成功提取出来并存储成jMeter变量：

![](https://img-blog.csdnimg.cn/img_convert/324c706e1f3425cf39732947f9978193.png)

(2) 把第一步提取出并存储在jMeter变量中的五个字段的值(下图红色)的值，再加上用户手动输入的用户名和密码(下图蓝色), 作为请求的头部字段，一齐提交给SAP ID service：

![](https://img-blog.csdnimg.cn/img_convert/57684ba3e79daf6ad8680f577ecd3411.png)

登录成功后，收到了服务器端返回的Cookie值：

![](https://img-blog.csdnimg.cn/img_convert/e809cad38fc475e5f1e845b0c16fe5bf.png)

(3) 发送新的请求给服务器，获取CSRF token. 这个请求的响应里包含了两个下图高亮的Cookie，需要同样存储成jMeter变量，以供最后一个请求使用。

![](https://img-blog.csdnimg.cn/img_convert/0e70a323b76e021d05f991e9e7054fd5.png)

(4) 最后一个步骤，将前一步获取到的CSRF token附加到HTTP请求字段中，同时带上前一步服务器返回的两个Cookie字段：

![](https://img-blog.csdnimg.cn/img_convert/17c3797b32e9b209a032c4087237ed34.png)

至此这个jMeter项目的配置工作就完成了，其优于Java编程和Postman之处在于我们不需要编写一行代码，我们对API进行并发测试这个需求的相关功能点全部能够通过jMeter里的配置完成。

![](https://img-blog.csdnimg.cn/img_convert/e59eed1dee35d04acb9e1817567a9146.png)

最后简单测试一下并发请求的响应时间：

![](https://img-blog.csdnimg.cn/img_convert/e0794799cc147364f30b85c6ba19d564.png)

我在使用jMeter调用contact API创建工作时用到了简单的随机数生成器，在contact的姓后面加上了简单的随机数，这是最后通过jMeter生成的contact在Marketing Cloud里的显示：

![](https://img-blog.csdnimg.cn/img_convert/31e4be2aa55f017d26b21143521f51e7.png)

最后一步就是把SAP Marketing Cloud Launchpad里的contact tile的计数器刷新间隔设置成10秒刷新一次：

![](https://img-blog.csdnimg.cn/img_convert/cffc5451b1423ce20e9ff938b69c1132.png)

最后系统显示，在上海 SAP 云大会这个演示场景的展台上，一共有 276 个嘉宾完成了人脸识别后的Marketing Cloud contact注册流程。

![](https://img-blog.csdnimg.cn/img_convert/631cd4402b410f76c68f3bc8eface7c8.png)

# 总结

本文首先介绍了 Client，Service Provider 和 Identity Provider 在 User Authentication 场景中的互相分工和交互原理，接着以 SAP Marketing Cloud Contact 创建这个 Restful API 为例，详细分享了使用 jMeter 对其产生大量并发请求从而实现并发负载测试的步骤。

ITPub博客

使用 jMeter 对需要 User Authentication 的 Restful API 进行并发负载测试

最新文章