使用 OWASP 测试 JSF2.2 的 Web 应用程序

Question

我们将使用 OWASP ZAP 测试 JSF 2.2 应用程序。

但是，它不能很好地执行：测试无法理解如何接管javax.faces.ViewState的id。是否可以像JMeter一样接管ViewState ID？我们在JMeter中看到：http://wiki.apache.org/myfaces/PerformanceTestingWithJMeter

Answer 1

我知道

这是一个老问题，但这种解决方法可以帮助某人。

我们将 STATE_SAVING_METHOD 参数设置为 web 中的客户端.xml（请参阅此处）。

<context-param>
    <param-name>javax.faces.STATE_SAVING_METHOD</param-name>
    <param-value>client</param-value>
</context-param>

这样，视图的状态不会过期。当然，这只是为了测试目的。

问候