java - 使用owasp测试jsf2.2的web应用

Question

我们将使用 OWASP ZAP 测试一个 JSF 2.2 应用程序。

但是，它不能很好地执行：测试无法理解如何接管 id 的javax.faces.ViewState。是否可以像 JMeter 一样接管 ViewState ID？我们在 JMeter 中看到：http ://wiki.apache.org/myfaces/PerformanceTestingWithJMeter

Answer 1

我知道这是一个老问题，但这种解决方法可以帮助某人。

我们在web.xml中将 STATE_SAVING_METHOD 参数设置为客户端（参见此处）。

<context-param>
    <param-name>javax.faces.STATE_SAVING_METHOD</param-name>
    <param-value>client</param-value>
</context-param>

这样，视图的状态就不会过期。当然，这仅用于测试目的。

问候