我有一个使用另一个 API（例如谷歌日历 API）的 API，该 API 通过 OAuth 2 进行了身份验证。
httpRequest => MyApi under test => uses external Oauth2 enabled API
如果“启用 Oauth2 的 API”使用 HTTP 基本身份验证，我可以在某处硬编码用户名和密码来测试应用程序 - 使用在公开我的 API 的外部 APP 中创建的测试用户的用户名和密码正在使用。
与 Oauth2 一样，我们要求用户同意（用户通常被重定向到网页）以请求他们同意应用程序通过 API 访问他们的数据。
我只想创建简单的集成测试：例如，我的 API 在 google 日历中创建一个事件，然后将其删除以进行清理，但无需人工干预。
这可能吗？如何实现？
【问题讨论】：
标签： c# .net oauth-2.0 integration-testing
如果您正在开发 API，那么您的测试应该只针对该 API。您不对外部 Oauth2 API 中所做的工作负责，该 API 的作者负责。只测试你自己的代码。
这意味着，如果可能，您应该找到一种方法来模拟对外部 API 的调用。
【讨论】：
我一直想知道自己做这件事的最佳方法。 到目前为止，我找到了一些选择：
password 授权类型，以用户身份进行身份验证。根据最佳实践，这显然不再推荐，但这是针对最终用户的。不用于测试。client_credentials 授权类型，作为应用程序本身进行身份验证。这样做的问题是，如果您的测试依赖于能够检索用户数据，那么应用将不会与自身关联任何东西，除非您事先对其进行操作。refresh_token，以重新验证为先前已验证的用户。这是通过请求offline_access 范围来完成的。用户必须进行第一次身份验证，获取刷新令牌并使用它配置测试脚本。然后，脚本必须能够在每次运行时使用新的刷新令牌不断更新自己。如果刷新令牌在下次运行之前过期，则需要再次进行人工干预。device_code 授权类型在其他地方轮询最终用户的同意。这就像 YouTube 用来配对您的 SmartTV，您可以在 SmartTV 上开始登录，并在您的移动设备上使用配对代码同意它。在这里，同意也需要人工干预，至少是第一次，然后在同意到期时再次进行。【讨论】：