受信任的 JMeter 录制器仍需 mTLS 客户端密钥

在浏览器中安装 JMeter 的录制 CA 只解决了一个方向的信任问题：浏览器可以接受录制器替换后的网站证书。它并不会为应用的 mTLS 握手向 JMeter 提供客户端私钥。

browser → JMeter recorder → mTLS application
          records HTTPS    presents client identity

在拦截式录制中，那条后续的 HTTPS 连接由 JMeter 自己发起。请通过 Options → SSL Manager 或文档所述的 JVM keystore 配置，从 JKS 或 PKCS12 keystore 中选择已授权的客户端证书及其匹配私钥。还要考虑测试所用的 HTTP 实现与 alias 选择。仅有公共 CA 证书无法提供这一身份。

按顺序排查这几次交互：浏览器对录制器的信任、可能存在的企业 proxy 连接与认证，最后才是与目标的 TLS 握手。407 属于 proxy 登录环节；更换 mTLS 证书解决不了它。

录制下来的请求数据不会把私钥身份带入之后的回放。回放的出站客户端同样需要可用的身份配置。如果回放收到 proxy 的 407，请单独配置 JMeter 的出站 proxy 凭据。