在 Spring Boot 1.4 中测试安全性

Question

我正在尝试使用 SecurityConfig class:

中定义的自定义安全设置来测试 @WebMvcTest

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests().antMatchers("/admin*").access("hasRole('ADMIN')").antMatchers("/**").permitAll().and().formLogin();
    }

    @Autowired
    public void configureGlobal(AuthenticationManagerBuilder auth) throws Exception {
        auth.inMemoryAuthentication().withUser("user").password("password").roles("ADMIN");
    }
}

测试class是：

@RunWith(SpringRunner.class)
@WebMvcTest(value = ExampleController.class)
public class ExampleControllerMockMVCTest {

    @Autowired
    private MockMvc mockMvc;

    @Test
    public void indexTest() throws Exception {
        mockMvc.perform(get("/"))
        .andExpect(status().isOk())
        .andExpect(view().name("index"));
    }

    @Test
    public void adminTestWithoutAuthentication() throws Exception {
        mockMvc.perform(get("/admin"))
        .andExpect(status().is3xxRedirection()); //login form redirect
    }

    @Test
    @WithMockUser(username="example", password="password", roles={"ANONYMOUS"})
    public void adminTestWithBadAuthentication() throws Exception {
        mockMvc.perform(get("/admin"))
        .andExpect(status().isForbidden());
    }

    @Test
    @WithMockUser(username="user", password="password", roles={"ADMIN"})
    public void adminTestWithAuthentication() throws Exception {
        mockMvc.perform(get("/admin"))
        .andExpect(status().isOk())
        .andExpect(view().name("admin"))
        .andExpect(model().attributeExists("name"))
        .andExpect(model().attribute("name", is("user")));
    }
}

测试失败，因为它们使用 Spring Boot.

的默认安全设置

我可以使用 @SpringBootTest + @AutoConfigureMockMvc 解决这个问题，但如果没有运行所有自动配置进行测试会很有趣。

@RunWith(SpringRunner.class)
@SpringBootTest(webEnvironment = WebEnvironment.MOCK)
@AutoConfigureMockMvc
public class ExampleControllerSpringBootTest {

    @Autowired
    private MockMvc mockMvc;

    // tests
}

@WebMvcTest 是否可以使用 SecurityConfig class 中定义的设置？

Answer 1

WebMvcTest 只会加载您的控制器，不会加载其他任何东西（这就是我们称之为切片的原因）。我们无法弄清楚您想要配置的哪一部分以及不需要哪一部分。如果安全配置不在您的主 @SpringBootApplication 上，您必须明确导入它。否则，Spring 启动将启用默认安全设置。

如果您使用 OAuth 之类的东西，那是一件好事，因为您真的不想开始使用它进行模拟测试。如果将 @Import(SecurityConfig.class) 添加到测试中会怎样？

在 Spring Boot 1.4 中测试安全性

Testing security in Spring Boot 1.4

java

spring

spring-security

spring-test-mvc

spring-boot