现代前端 SSO 认证体系下的自动化测试与会话保活实践

在云原生平台与微服务架构的自动化测试与日常运维脚本中，单点登录（SSO）会话的管理往往是稳定性的一大卡点。本文结合生产实战，梳理基于 Chrome DevTools Protocol（CDP）处理企业级 SSO 票据轮转、跨域会话隔离以及会话热恢复的核心要点。

一、为什么纯 HTTP 请求带 Cookie 会失效？

在许多复杂的企业云平台中，测试工程师常习惯直接通过抓包获取 Cookie，并在 Python 脚本中用 requests 或 httpx 发送请求。然而在实际运行中，往往会遭遇 403 Forbidden 或 403 not login。

主要原因有两点：

1. **浏览器上下文强绑定**：现代风控网关不仅校验 `Cookie`，还会结合前端的 CSRF Token、TLS 指纹、DOM 运行态特征以及 WebSocket 握手链路进行协同鉴权。
2. **多域名 SSO 票据置换（CAS 模式）**：认证中心（如 auth 域名）签发的 HttpOnly 凭据与业务服务网关（如 devdata / bbs 域名）并不共享主会话。未在渲染进程中执行票据兑换（Ticket Exchange）时，直接调用后端接口会被网关判定为未认证。

二、基于 CDP 的会话状态捕获与保活设计

通过 CDP（Chrome DevTools Protocol）直接与真实的 Chromium 渲染进程交互，可以完美绕过原生驱动的指纹特征，并实现精准的状态感知与凭据同步：

# 1. 通过 CDP 提取包含 HttpOnly 属性在内的全量内核会话 Cookie
cookies_resp = await cdp.send("Network.getAllCookies")
cookies = cookies_resp.get("cookies", [])

# 2. 持久化存储会话快照
payload = {
    "saved_at": datetime.now().isoformat(),
    "cookies": cookies
}
with open("cookies.json", "w") as f:
    json.dump(payload, f)

当发生会话漂移或需要在无头环境下快速恢复上下文时，执行批量回注：

# 3. 分批注入恢复会话态
for i in range(0, len(cookies), 50):
    await cdp.send("Network.setCookies", {"cookies": cookies[i:i+50]})

三、动态 CSRF Token 的无感嗅探与捕获

静态读取 document.cookie 中的 Token 往往存在时效性隐患。最佳实践是在页面初始化之前注入网络层 Hook，实时拦截最新的请求头签名：

// 在 Page.addScriptToEvaluateOnNewDocument 阶段注入
(() => {
  window.__csrfHits = window.__csrfHits || [];
  const originFetch = window.fetch;
  window.fetch = function(input, init) {
    try {
      const headers = new Headers((init && init.headers) || (input && input.headers) || {});
      const csrf = headers.get('csrf') || headers.get('x-csrf-token');
      if (csrf) window.__csrfHits.push(csrf);
    } catch(e) {}
    return originFetch.apply(this, arguments);
  };
})();

四、总结与工程化建议

1. **分离鉴权与业务调用**：将主 SSO 登录保持在持久化受控的容器或长周期 Browser 进程中，业务自动化脚本通过 CDP 实时挂载与调度。
2. **定期主动探活**：不要等接口 403 发生后再报错，建议设置每 2~4 小时的低频探活探针，检测主票据健康度并在必要时发起静默刷新。
3. **安全凭据存储**：全量内核 Cookie 文件必须配置严格的文件权限（如 `chmod 600`），避免敏感鉴权凭据在公共目录泄露。