java - 使用owasp测试jsf2.2的web应用

Question

我们将使用 OWASP ZAP 测试 JSF 2.2 应用程序。

但是，它不能很好地执行:测试无法理解 javax.faces.ViewState 的 id 是如何接管的。是否可以像JMeter一样接管ViewState ID？我们在JMeter中看到:http://wiki.apache.org/myfaces/PerformanceTestingWithJMeter

Answer 1

我知道这是一个老问题，但这个解决方法可以帮助某人。

我们在 web.xml 中将 STATE_SAVING_METHOD 参数设置为 client(参见 here)。

<context-param>
    <param-name>javax.faces.STATE_SAVING_METHOD</param-name>
    <param-value>client</param-value>
</context-param>

这样， View 的状态就不会过期。当然，这仅用于测试目的。

问候