Hier werden wir einen API-Sicherheitsmechanismus besprechen, der OAuth 2.0 hei\u00dft, und wie wir Lasttests f\u00fcr OAuth-Web-APIs durchf\u00fchren k\u00f6nnen.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][et_pb_row _builder_version=”4.16″ background_color=”#0e134f” custom_margin=”||2em” custom_padding=”20px||30px||false|false” locked=”off” global_colors_info=”{}”][et_pb_column type=”4_4″ _builder_version=”4.16″ custom_padding=”|||” global_colors_info=”{}” custom_padding__hover=”|||”][et_pb_text admin_label=”Setup a Load Test” _builder_version=”4.16″ header_font=”||||||||” header_2_font=”Montserrat||||||||” header_2_text_align=”center” header_2_text_color=”#ffffff” header_2_font_size=”32px” header_2_line_height=”1.35em” custom_margin=”||15px” header_2_font_size_tablet=”” header_2_font_size_phone=”22px” header_2_font_size_last_edited=”on|desktop” global_colors_info=”{}”]\n
Was ist OAuth?<\/h2>\n
OAuth ist das branchen\u00fcbliche Protokoll f\u00fcr Autorisierung. OAuth legt den Fokus auf Einfachheit f\u00fcr Client-Entwickler und bietet gleichzeitig spezifische Autorisierungsflows f\u00fcr Webanwendungen, Desktop-Anwendungen, Mobiltelefone usw. Diese Spezifikation und ihre Erweiterungen werden innerhalb der IETF OAuth Arbeitsgruppe<\/a> entwickelt. OAuth wird h\u00e4ufig verwendet, damit Internetnutzer sich bei Drittanbieter-Webseiten mit ihren Microsoft-, Google-, Facebook-, Twitter-, Slack-Konten usw. anmelden k\u00f6nnen, ohne ihr Passwort preiszugeben.<\/p>\n OAuth 1.0 wird Sicherheitsm\u00e4ngeln verd\u00e4chtigt und wird nicht mehr unterst\u00fctzt. OAuth 2.0 ist die neueste Version mit fortschrittlicheren Sicherheitsfunktionen. OAuth 2.0 erm\u00f6glicht es Benutzern, spezifische Daten mit einer Anwendung zu teilen, w\u00e4hrend ihre Benutzernamen, Passw\u00f6rter und andere Informationen privat bleiben. Beispielsweise kann eine Anwendung<\/a> OAuth 2.0 verwenden, um die Erlaubnis von Nutzern zu erhalten, Dateien zu speichern. Laut der OAuth-Webseite<\/a> ist es wie ein Autoschl\u00fcssel f\u00fcr den Parkservice. Viele Luxussportwagen heute verf\u00fcgen \u00fcber einen solchen Schl\u00fcssel. Dieser ist ein besonderer Schl\u00fcssel, den man dem Parkw\u00e4chter gibt, und im Gegensatz zum regul\u00e4ren Schl\u00fcssel erlaubt er dem Auto nicht, weiter als eine oder zwei Meilen zu fahren. Einige Parkservice-Schl\u00fcssel \u00f6ffnen nicht den Kofferraum, w\u00e4hrend andere den Zugriff auf das integrierte Telefonbuch blockieren. Unabh\u00e4ngig von den Einschr\u00e4nkungen ist die Idee sehr clever: Man gew\u00e4hrt jemandem begrenzten Zugang zum Auto mit einem speziellen Schl\u00fcssel, w\u00e4hrend man selbst mit dem regul\u00e4ren Schl\u00fcssel uneingeschr\u00e4nkten Zugang hat.<\/p>\n <\/p>\n Egal welche Rolle Sie in einer Organisation haben, mindestens einmal haben Sie von einer API geh\u00f6rt. Was ist also eine API? API steht f\u00fcr Application Programming Interface (Anwendungsprogrammierschnittstelle). Eine API ist eine Sammlung von Regeln und Anweisungen, wie man mit einer Anwendung kommuniziert, wenn ein Benutzer \u00fcber das Internet auf eine App zugreift. Eine Anfrage k\u00f6nnte so einfach sein:<\/p>\n GET: https:\/\/userauth.dotcom-monitor.com\/login<\/em><\/p>\n Wenn Sie denken, dass ein Funktionstest f\u00fcr Ihre Anwendung ausreichend ist und dass das alles ist, was Ihre Kunden interessiert, liegen Sie falsch. Was passiert, wenn Ihre Website parallel zu einer Marketingkampagne live geht und tausende potenzielle Kunden sich anzumelden beginnen? Dann stellen Sie erst fest, dass Ihre Kunden w\u00e4hrend des Anmeldevorgangs Fehler erleben. Ab diesem Moment verlieren Sie potenzielle Gesch\u00e4fte und das Image Ihres Unternehmens.<\/p>\n Um diese dem\u00fctigende Situation zu vermeiden, wendet man Lasttests mit dem erwarteten Traffic<\/a> in der Produktionsumgebung systematisch auf die Anwendungsserver an, um zu bestimmen, wie sich die Anwendung vor dem Livegang verh\u00e4lt. Wenn Sie OAuth implementiert haben, k\u00f6nnen Sie API-Lasttests durchf\u00fchren, indem Sie mehrere Benutzer simulieren, die gleichzeitig Anfragen an Ihren Server senden. Es gibt verschiedene M\u00f6glichkeiten, Lasttests durchzuf\u00fchren, aber API- Lasttests<\/a> sind eine der einfachsten und kosteneffektivsten Methoden. Das liegt daran, dass es einfach zu skripten ist und es viele Open-Source-Tools gibt, mit denen Sie Ihre Skripte erstellen und ausf\u00fchren k\u00f6nnen.<\/p>\n Wenn Sie mit API-Tests<\/a> und der Funktionsweise von Lasttests nicht vertraut sind, finden Sie hier einen guten Artikel, in dem Sie Wissen \u00fcber API-Tests<\/a> erwerben k\u00f6nnen.<\/p>\n Eine API-Anfrage in LoadView kann auf zwei Arten erfolgen: mit dem EveryStep Web Recorder, um ein Skript aufzuzeichnen, oder mit einer HTTP-Aufgabe. Sie k\u00f6nnen die API mit einer Anwendung aufzeichnen, die die API nutzt, oder mit der LoadView-L\u00f6sung. Au\u00dferdem ist es sehr wichtig, dass wenn Ihre Anwendung eine Drittanbieter-API verwendet, Sie diese APIs ebenfalls einem Lasttest unterziehen, um sicherzustellen, dass sie Ihre Anforderungen erf\u00fcllen.<\/p>\n <\/p>\n Hier erkl\u00e4ren wir den OAuth 2.0 Ablauf mit Hilfe der LoadView L\u00f6sung. LoadView ist eine On-Demand-Lasttestplattform, die realistische Lasttests ohne anf\u00e4ngliche Investitionen in Hardware oder Software<\/a>-Infrastruktur erm\u00f6glicht. Die Anwendung, die wir testen werden, ist eine Gesundheitsanwendung, die von \u00c4rzten genutzt wird.<\/p>\n Ab jetzt nennen wir die Zielanwendung \u201eGesundheitsanwendung\u201c. Die Gesundheitsanwendung ist in Azure<\/a> gehostet und verwendet w\u00e4hrend des Anmeldeprozesses die Microsoft OAuth 2.0-Dienste, sodass die \u00c4rzte sich mit ihrer bereits registrierten Krankenhaus-E-Mail-Adresse anmelden k\u00f6nnen. Im Grunde bietet diese Anwendung alle Informationen zur Krankengeschichte eines Patienten.<\/p>\n Der OAuth 2.0-Aufruf ist speziell f\u00fcr die Benutzerautorisierung konzipiert. Er ist f\u00fcr Anwendungen gedacht, die vertrauliche Informationen speichern und den Status beibehalten k\u00f6nnen. Eine ordnungsgem\u00e4\u00df autorisierte Webserver-Anwendung kann auf eine API zugreifen, w\u00e4hrend der Benutzer mit der Anwendung interagiert oder nachdem er die Anwendung verlassen hat.<\/p>\n Hier ist die Schritt-f\u00fcr-Schritt-Anleitung, die den OAuth 2.0 Ablauf zeigt, zusammen mit den entsprechenden LoadView-Konfigurationen f\u00fcr Performancetests<\/a>.<\/p>\n Im Ablauf gibt es nur zwei Aktionen, aber es h\u00e4ngt vom Bedarf der Entwickler ab, ob sie dies mit mehreren API-Sequenzen durchf\u00fchren. Die Konfiguration und Komplexit\u00e4t einer OAuth 2.0 API \u00e4ndert sich abh\u00e4ngig von Anwendungssicherheit und Entwickleranforderungen. Es ist nie ein Prozess, der f\u00fcr alle gleich ist.<\/p>\n Es gibt zwei M\u00f6glichkeiten, OAuth 2.0 mit LoadView zu lasttesten.<\/strong><\/p>\n Die Nutzung des EveryStep Web Recorders ist einfach und effektiver, da man nicht auf Entwickler angewiesen ist.<\/p>\n <\/p>\n Schritt 1<\/strong>. Greifen Sie auf den EveryStep Web Recorder<\/a> zu.<\/p>\n Schritt 2<\/strong>. Geben Sie die URL Ihrer Anwendung ein und w\u00e4hlen Sie Jetzt Aufnehmen<\/em>.<\/p>\n <\/p>\n Schritt 3<\/strong>. Folgen Sie dem Anmeldeszenario Ihrer Anwendung.<\/p>\n <\/p>\n Schritt 4<\/strong>. \u00dcberpr\u00fcfen Sie alle Details der Anwendung.<\/p>\n <\/p>\n Schritt 5: Das war\u2019s. Spielen Sie es ab und stellen Sie sicher, dass alles funktioniert. Einfach, oder? Sobald die Aufnahme abgeschlossen ist, konfigurieren Sie sie auf der LoadView-Plattform und f\u00fchren Ihren Lasttest durch.<\/p>\n <\/p>\n Hinweis: Es sind zwei Aktionen erforderlich, um den OAuth 2.0 Prozess abzuschlie\u00dfen.<\/em><\/p>\n Aktion 1<\/strong>. Holen Sie sich den Autorisierungscode<\/p>\n Aktion 2<\/strong>. Tauschen Sie den Authentifizierungscode gegen ein Zugriffstoken aus<\/p>\n Hinweis: Sie m\u00fcssen Details zu API-Server-Anfragen und Body-Daten vom Entwicklungsteam anfordern<\/em><\/p>\n Schritt 1<\/strong>. Erstellen Sie Ihr LoadView-Konto<\/a> und gehen Sie zum LoadView-Dashboard, um den API-Typ f\u00fcr den Test auszuw\u00e4hlen.<\/p>\n Schritt 2<\/strong>. F\u00fcr Demo-Zwecke w\u00e4hlen wir HTTP\/S<\/em>. Ihre Situation kann je nach API- Service<\/a>-Typ unterschiedlich sein.<\/p>\n <\/p>\n Schritt 3<\/strong>. Konfigurieren Sie Ihre API-Anfrage, um den API-Server der Anwendung anzusprechen.<\/p>\n <\/p>\n Schritt 4<\/strong>. Der API-Server leitet zur Login- Seite<\/a> weiter mit der Nachricht, um auf die Daten zuzugreifen: Melden Sie sich mit Microsoft (OAuth-Anbieter) an, um auf die Seite zuzugreifen<\/em>. Sie sehen OAuth 2 in der URL.<\/p>\n Schritt 5<\/strong>. Der Benutzer gibt die E-Mail-Adresse und das Passwort ein und klickt auf Anmelden, gibt seinen Benutzernamen und Passwort ein und erlaubt dann den Zugriff auf die Anwendung. Der Auth-Server leitet den Benutzer mit einem Code als Parameter in der URL zur\u00fcck zu Ihrer Website.<\/p>\n <\/p>\n Schritt 6<\/strong>. Der API-Server fragt den Auth-Server nach Benutzerinformationen f\u00fcr das angegebene Zugriffstoken. Der Auth-Server gibt Details wie Benutzer-ID, E-Mail usw. zur\u00fcck.<\/p>\n <\/p>\n Schritt 7<\/strong>. Der API-Server identifiziert den Benutzer und sendet die Antwort zusammen mit dem Zugriffstoken. Der Client sendet das Zugriffstoken in der folgenden Anfrage an den API-Server. Der API-Server pr\u00fcft, ob das Zugriffstoken g\u00fcltig ist, und gew\u00e4hrt den Zugang zur Anwendung.<\/p>\n <\/p>\n Das Korrelieren und Konfigurieren von OAuth 2.0-Anfragen ist keine leichte Aufgabe. Man ben\u00f6tigt Erfahrung und ein klares Verst\u00e4ndnis davon, wie OAuth f\u00fcr Ihre Anwendung funktioniert. Da OAuth eine sehr wichtige Funktionalit\u00e4t jeder Anwendung erm\u00f6glicht, ist es sehr wichtig, Performancetests der OAuth APIs f\u00fcr Ihre Anwendung durchzuf\u00fchren. Wenn Sie ein anderes Open-Source-Tool wie JMeter verwenden, k\u00f6nnen Sie JMeter-Tests in LoadView konvertieren.<\/a> JMeter ist keine Performancetestl\u00f6sung wie LoadView, es ist nur ein Lastgenerator. Wir ben\u00f6tigen eine gute Performancetestl\u00f6sung wie LoadView, um einen End-to-End-Performancetest durchzuf\u00fchren.<\/p>\n Erfahren Sie mehr \u00fcber LoadView<\/a> und registrieren Sie sich f\u00fcr die kostenlose Testversion. Sie erhalten bis zu 5 kostenlose Lasttests zum Start<\/a>.<\/p>\n[\/et_pb_text][\/et_pb_column][\/et_pb_row][\/et_pb_section]\n","protected":false},"excerpt":{"rendered":" Lasttests sind eine Art von Tests unter den verschiedenen Arten des Performancetestings, die die Leistung des Systems unter realen Lastbedingungen bestimmen. Die Rolle von APIs hat sich in den letzten Jahren stark entwickelt. Als APIs nur f\u00fcr Aufgaben wie das Extrahieren von Berichten verwendet wurden, war deren Leistung nie ein Schl\u00fcsselfaktor. APIs sind jedoch langsam […]<\/p>\n","protected":false},"author":5,"featured_media":9664,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_et_pb_use_builder":"on","_et_pb_old_content":"","_et_gb_content_width":"","footnotes":""},"categories":[157,143],"tags":[158,147,250],"class_list":["post-9619","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-api-testing-de","category-performance-testing-de","tag-api-testing-de","tag-auslastungstests","tag-oauth-de"],"yoast_head":"\nWarum Lasttests von OAuth-Web-APIs wichtig sind<\/h2>\n
OAuth Ablauf\/Phasen<\/h2>\n
\n
Prozess 1. OAuth 2.0 Lasttestprozess mit dem EveryStep Web Recorder<\/h3>\n
![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-record-new-script-1024x445.jpg\")
<\/p>\n![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-record-now-1024x460.jpg\")
<\/p>\n![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-login-scenario-1024x447.jpg\")
<\/p>\n![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-verify-details-1024x449.jpg\")
<\/p>\nProzess 2. Verwendung der OAuth 2.0 API Sequenz mit LoadView<\/h3>\n
![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-create-new-load-test-1024x461.jpg\")
<\/p>\n![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-HTTPS-test-1024x460.jpg\")
<\/p>\n![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-configure-device-1024x459.jpg\")
<\/p>\n![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-login-URL-1024x437.jpg\")
<\/p>\n![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-login-URL-details-1024x462.jpg\")
<\/p>\n![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-login-user-information-1024x457.jpg\")
<\/p>\n![\"OAuth](\"https:\/\/www.loadview-testing.com\/wp-content\/uploads\/OAuth-login-access-token-1024x449.jpg\")
<\/p>\nFazit: Lasttests von OAuth-Web-APIs<\/h2>\n