Spring Security 测试(5) - 测试身份认证

在本文中，我们将讨论测试身份认证。在测试系列的前面，您学习了如何定义模拟用户和测试授权配置。但是身份认证呢?我们还可以测试身份认证逻辑吗?例如，如果您为身份认证实现了自定义逻辑，并且希望确保整个流程正常工作，则需要这样做。当测试身份认证时，测试实现请求的工作方式与正常的客户端请求类似，如图 10 所示。

图 10 当测试身份认证时，测试充当客户端，并通过整个 Spring Security 流程。通过这种方式，您还可以测试，例如，您的自定义 AuthenticationProvider 对象。

例如，回到《重写默认配置》项目，我们能否证明我们实现的自定义身份验证提供程序能够正确工作，并通过测试对其进行保护?在这个项目中，我们实现了一个自定义的 AuthenticationProvider，我们希望通过测试确保这个自定义身份认证逻辑的安全性。是的，我们也可以测试身份认证逻辑。

我们实现的逻辑很简单。只接受一组凭证:用户名“tom”和密码“12345”。我们需要证明，当使用有效凭证时，调用是成功的，而当使用其他凭证时，HTTP 响应状态是 401 Unauthorized。让我们再次打开项目，并实现几个测试来验证身份验证行为是否正确。

清单 13 使用 httpBasic() RequestPostProcessor 测试身份验证

@SpringBootTest
@AutoConfigureMockMvc
public class AuthenticationTests {

  @Autowired
  private MockMvc mvc;

  @Test
  public void helloAuthenticatingWithValidUser() throws Exception {
    mvc.perform(
       get("/hello")
         .with(httpBasic("tom","12345")))  //使用正确的凭证进行身份认证
         .andExpect(status().isOk());
  }

  @Test
  public void helloAuthenticatingWithInvalidUser() throws Exception {
    mvc.perform(
       get("/hello")
         .with(httpBasic("mary","12345"))) //使用错误的凭证进行身份认证
         .andExpect(status().isUnauthorized());
  }
}

使用 httpBasic() 请求 PostProcessor，我们指示测试执行身份认证。这样，当使用有效或无效凭证进行身份认证时，我们将验证端点的行为。您可以使用相同的方法使用表单登录来测试身份认证。让我们打开项目，在这里我们使用表单登录进行身份认证，并编写一些测试来证明身份认证可以正确工作。我们在以下场景中测试应用程序的行为:

• 使用一组错误的凭证进行身份认证时
• 当使用一组有效的凭证进行身份认证时，但根据我们在 AuthenticationSuccessHandler 中编写的实现，用户没有有效的权限
• 根据我们在 AuthenticationSuccessHandler 中编写的实现，使用一组有效的凭证和一个具有有效权限的用户进行身份验证时

在清单 14 中，您可以找到第一个场景的实现。如果我们使用无效的凭证进行身份认证，应用程序不会对用户进行身认证，并将请求头信息 “failed” 添加到 HTTP 响应中。在前面文章讨论身份认证时，我们自定义了一个应用程序，并添加了带有 AuthenticationFailureHandler 的 “failed” 请求头。

清单 14 测试表单登录失败的身份认证

@SpringBootTest
@AutoConfigureMockMvc
public class MainTests {

  @Autowired
  private MockMvc mvc;

  @Test
  public void loggingInWithWrongUser() throws Exception {
    mvc.perform(formLogin() //使用带有无效凭证集的表单登录进行身份认证
          .user("joey").password("12345"))
          .andExpect(header().exists("failed"))
          .andExpect(unauthenticated());
  }
}

回到，我们使用 AuthenticationSuccessHandler 自定义了身份认证逻辑。在我们的实现中，如果用户有阅读权限，应用程序将他们重定向到 /main。否则，应用程序将用户重定向到 /error 页面。下面的清单展示了这两个场景的实现。

清单 15 在验证用户时测试应用程序行为

@SpringBootTest
@AutoConfigureMockMvc
public class MainTests {

  @Autowired
  private MockMvc mvc;

  // Omitted code

  @Test
  public void loggingInWithWrongAuthority() throws Exception {
    mvc.perform(formLogin()
                .user("mary").password("12345")
            )
            .andExpect(redirectedUrl("/error"))
            .andExpect(status().isFound())
            .andExpect(authenticated());
    }

  @Test
  public void loggingInWithCorrectAuthority() throws Exception {
    mvc.perform(formLogin()
                 .user("bill").password("12345")
            )
            .andExpect(redirectedUrl("/home"))
            .andExpect(status().isFound())
            .andExpect(authenticated());
    }
}