Spring Controller 在 url 受保护时测试 ADMIN 用户

Question

我刚刚进入 TDD 并尝试添加一个测试来测试 controller 以保存实体。

//保存新实体的控制器方法

@PostMapping("/management/member/{societyId:[0-9]+}")
    GenericResponse create(@Valid @RequestBody Member member, @PathVariable long societyId) {
        memberService.save(member, societyId);

        return new GenericResponse("member saved");
    }

//安全配置文件

protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable();

        http.httpBasic().authenticationEntryPoint(new HttpStatusEntryPoint(HttpStatus.UNAUTHORIZED));

        http
                .cors()
                .and()
                .authorizeRequests()
                .antMatchers("/login").permitAll()
                .antMatchers("/management/**").hasAnyRole("ADMIN", "SUPERADMIN")
                .antMatchers("/**").authenticated()
                .and()
                .authorizeRequests().anyRequest().permitAll();

        http.sessionManagement().sessionCreationPolicy(SessionCreationPolicy.STATELESS);
    }

/management后面的所有 url 都受到保护，只能由具有ADMIN角色的人访问。

到目前为止，在我的controllerTest中，

@RunWith(SpringRunner.class)
@SpringBootTest(webEnvironment = SpringBootTest.WebEnvironment.RANDOM_PORT)
@ActiveProfiles("test")
public class MemberControllerTest {

    private static final String USERS = "/member";

    @Autowired
    TestRestTemplate testRestTemplate;

    @Autowired
    MemberRepo memberRepo;

    @Autowired
    MemberService memberService;

    @Autowired
    SocietyService societyService;

    @Autowired
    AppConfiguration appConfiguration;

    @BeforeEach
    public void cleanup() {
        memberRepo.deleteAll();
        testRestTemplate.getRestTemplate().getInterceptors().clear();
    }

    @BeforeEach
    public void before() {
        // because .withBasicAuth() creates a new TestRestTemplate with the same
        // configuration as the autowired one.
        testRestTemplate = testRestTemplate.withBasicAuth("username", "password");
    }

    @Test
    public void postUser_whenUserIsValid_receiveOk() {
        Society s = TestUtil.createValidSociety();
        String url = "/management/" + USERS + "/1";
        testRestTemplate.postForEntity(url, s, Object.class);
        Member member = TestUtil.createValidMember();
        ResponseEntity<Object> response = testRestTemplate.withBasicAuth("dannyjebb", 
           "P4ssword1234")
                .postForEntity("/management/member/1", member, Object.class);
        //ResponseEntity<Object> response = postSignup(member, Object.class);
        assertThat(response.getStatusCode()).isEqualTo(HttpStatus.OK);
    }

     public <T> ResponseEntity<T> postSignup(Object request, Class<T> response) {
        return testRestTemplate.postForEntity(USERS, request, response);
    }

我正在使用withBasicAuth但不确定如何告诉它经过身份验证的用户是ADMIN ？

当我用 postman 测试 controller 时，controller 工作正常，并且只有在基本身份验证是具有管理员或超级管理员角色的人时才能调用。

Answer 1

这取决于您如何配置 spring 安全性以加载用户进行身份验证。 例如，如果您使用默认的 JDBC 身份验证，则可以使用@MockBean将默认UserDetailsService ervice 替换为模拟的，并将其loadUserByUsername()存根以返回具有 ADMIN 角色的用户。

But if you just want to test if the rest controller is configured correctly and return the expected HTTP response given a HTTP request, you can simply use MockMvc rather than TestRestTemplate . MockMvc的好处在于它允许您使用@WithMockUser直接为用户配置角色，并且它还运行得更快，因为它不需要启动服务器。

此外，您应该考虑使用@WebMvcTest而不是@SpringBootTest ，因为@WebMvcTest只会启用与web 层相关的bean，但@SpringBootTest将默认启用所有bean，例如启动可嵌入数据库等，这对于测试controller 是不必要的。

并且还使用@MockBean替换 controller 的所有依赖项，以便您可以存根它们的响应并验证您的 controller 是否与它们正确交互。

它应该看起来像：

@RunWith(SpringRunner.class)
@WebMvcTest(MemberController.class)
@ActiveProfiles("test")
public class MemberControllerTest {

    @Autowired
    MockMvc mockMvc;

    @MockBean
    MemberRepo memberRepo;


    @Test
    @WithMockUser(roles = "ADMIN")
    public void postUser_whenUserIsValid_receiveOk() {
        Member member = TestUtil.createValidMember();

        //stub the memberRepo if necessary

        mockMvc.perform(post(/management/" + USERS + "/1")
        .contentType(MediaType.APPLICATION_JSON)
        .content(memberJsonStr)
        .andExpect(status().isOk());
  
    }
 }