没有特定角色的用户的 Spring Security 测试端点

Question

我正在为我的 Spring MVC 控制器编写一些集成测试。

控制器由 Spring Security 保护。

这是我目前的测试类：

@SpringBootTest(
    webEnvironment = SpringBootTest.WebEnvironment.MOCK,
    classes = GuiBackendApplication.class
)
@AutoConfigureMockMvc
public class ConfigEditorControllerIntegrationTest {

    @Autowired
    private MockMvc mockedMvc;

    @Test
    @WithMockUser(username = "user", password = "password", roles = {"admin"})
    public void adminsCanAccessRuntimeConfig() throws Exception {

        this.mockedMvc.perform(get("/my/custom/api"))
            .andExpect(status().isOk());
    }
}

这个测试类确保管理员可以访问我的端点。它工作正常。

但是如果我想测试是否只有具有管理员角色的用户才能访问我的端点呢？

我可以编写一个测试，将@WithMockUsers 与我目前拥有的所有角色一起使用，除了管理员角色。但这会让我很难维持。我希望我的测试确保只有具有管理员角色的用户才能访问我的端点，而不管任何新角色。

我检查了 Spring Reference Docs 并没有找到任何相关信息。有没有办法做到这一点？

类似的东西

@Test
@WithMockUser(username = "user", password = "password", roles = {"IS NOT admin"})
public void nonAdminsCannotAccessRuntimeConfig() throws Exception {

    this.mockedMvc.perform(get("/my/custom/api"))
        .andExpect(status().isUnauthorized());
}

Answer 1

Spring Security 不知道您的系统定义了哪些角色。因此，如果您想对所有可用角色有 100% 的测试覆盖率，就必须告诉它并一一测试。

您可以通过使用 JUnit 5 的 @ParameterizedTest 并将 MockMvc 配置为具有不同角色的 UserRequestPostProcessor 轻松地以维护方式完成此操作。

类似：

public class ConfigEditorControllerIntegrationTest {

    @ParameterizedTest
    @MethodSource
    public void nonAdminsCannotAccessRuntimeConfig(String role) throws Exception {
        mockedMvc.perform(get("/my/custom/api")
                 .with(user("someUser").roles(role)))
                 .andExpect(status().isUnauthorized());
    }

    static List<String> nonAdminsCannotAccessRuntimeConfig() {
        return Roles.exclude("admin");
    }
}

并创建一个类来维护所有可用的角色：

public class Roles {

    public static List<String> all() {
        return List.of("admin", "hr", "developer" , "accountant" , .... , "devops");
    }

    public static List<String> exclude(String excludeRole) {
        List<String> result = new ArrayList<>(all());
        result.remove(excludeRole);
        return result;
    }

}