Salesforce Playwright JWT Authentication Access Denied Error

近日，多家企业在使用 Playwright 对 Salesforce 平台进行自动化测试时，频繁遭遇“JWT Authentication Access Denied Error”（JWT 认证访问被拒错误）。该问题严重影响了 CI/CD 流水线的正常运行，导致测试用例大面积失败。本文将从技术原理、常见诱因及修复方案三个维度进行深度解析。

一、问题背景：Playwright 与 Salesforce 的认证冲突

Playwright 是微软开源的端到端测试框架，因其跨浏览器支持和高性能而成为前端自动化测试的首选工具。Salesforce 作为全球领先的 CRM 平台，其 REST API 和用户界面均依赖 OAuth 2.0 及 JWT（JSON Web Token）进行安全认证。当开发者使用 Playwright 模拟用户登录或调用 API 时，若 JWT 令牌的生成、传递或验证环节出现偏差，便会触发“Access Denied”错误。

该错误通常表现为：Playwright 脚本在执行点击、表单提交或接口请求后，页面返回 403 状态码，控制台输出“Access Denied”提示，且浏览器开发者工具中可见网络请求的 Authorization 头包含无效或过期的 JWT。

二、核心原因：JWT 签名、作用域与 Playwright 上下文隔离

经过深入排查，技术社区与 Salesforce 官方文档共同指出，该错误的触发原因主要集中在以下三个方面：

1. JWT 签名密钥不匹配

Salesforce 要求 JWT 必须使用与已注册的证书（Certificate）对应的私钥进行签名。常见错误包括：开发者在 Playwright 脚本中硬编码了错误的私钥路径、证书未正确上传至 Salesforce Connected App，或者密钥格式（如 PEM 与 PKCS12 混用）导致签名验证失败。

2. 作用域（Scopes）与 IP 白名单限制

JWT 生成的令牌必须包含正确的 scopes 值（如 api、refresh_token、offline_access）。若 Playwright 测试环境未设置允许的 IP 范围，或 scopes 遗漏了必要权限，Salesforce 的认证服务器会直接拒绝颁发令牌。此外，部分企业启用了“受信任 IP 范围”策略，而自动化测试服务器可能处于非信任段。

3. Playwright 浏览器的 Cookie 与存储隔离

Playwright 默认每个 browser context 拥有独立的存储空间。开发者常忽略在多个测试用例之间共享认证状态，导致每次请求都需要重新获取 JWT。若令牌刷新逻辑未正确实现，或访问令牌（Access Token）在请求发送前已过期，Salesforce 将返回 Access Denied。

三、解决方案：四步修复指南

针对上述原因，以下是一套经过验证的修复流程：

步骤一：核对 Connected App 配置

登录 Salesforce，导航至 Setup > App Manager > New Connected App，确认数字签名（Digital Signature）已上传正确的自签名证书。使用官方工具 openssl 生成证书时，务必选择 RSA:2048 或 RSA:4096，并将公钥上传至 Salesforce。

步骤二：验证 JWT 生成脚本

在 Playwright 测试代码中，使用 jsonwebtoken 库生成 JWT 时，确保： - iss（Issuer）为 Connected App 的 Consumer Key。 - sub（Subject）为具有 API 权限的 Salesforce 用户账号（如 admin@company.com）。 - aud（Audience）为 https://login.salesforce.com（生产环境）或 https://test.salesforce.com（沙箱）。 - exp（过期时间）设置为当前时间后 3 分钟内，避免时间偏差。

步骤三：添加 IP 白名单与适当 Scopes

在 Salesforce Connected App 的“OAuth Policies”中，将 Playwright 运行服务器的公网 IP 加入“Permitted Users”的 IP 范围。同时，在 JWT 请求体中的 scope 字段添加 api refresh_token，确保令牌具备刷新能力。

步骤四：优化 Playwright 上下文管理

在每个测试套件（describe）的 beforeAll 中执行一次 JWT 认证，并将获取到的 access_token 存入全局环境变量或 fixture。使用 page.setExtraHTTPHeaders({ 'Authorization': 'Bearer ' + token }) 为所有后续请求附加令牌。若需处理令牌过期，可设置 apiVersion 与自动化刷新逻辑。

四、典型案例与预防建议

某跨国企业曾因开发环境与生产环境 JWT 的 aud 端点混淆，导致测试脚本在沙箱正常而在生产环境报错。建议在测试脚本中通过环境变量动态设置 aud 值，避免硬编码。此外，启用 Salesforce 的“Event Monitoring”日志，通过查看 AccessDenied 事件的详细参数可快速定位是签名失败还是 scope 不足。

五、结语

Salesforce Playwright JWT 认证访问被拒错误本质上是安全机制与自动化工具之间的配置摩擦。随着企业加速 DevOps 转型，正确管理 OAuth 2.0 认证已成为测试工程师的必备技能。建议测试团队将 JWT 生成逻辑封装为独立服务，并定期轮换证书密钥。若问题持续，可参考 Salesforce 官方文档《JWT Bearer Token Flow》或提交 Case 至技术支持。

（全文约 960 字）