知識庫 / Spring / Spring MVC RSS 訂閱

@RunWith(SpringRunner.class)
@WebAppConfiguration
@SpringBootTest(classes = AuthorizationServerApplication.class)
public class OAuthMvcTest {

    @Autowired
    private WebApplicationContext wac;

    @Autowired
    private FilterChainProxy springSecurityFilterChain;

    private MockMvc mockMvc;

    @Before
    public void setup() {
        this.mockMvc = MockMvcBuilders.webAppContextSetup(this.wac)
          .addFilter(springSecurityFilterChain).build();
    }
}

4.2. 獲取訪問令牌

簡單來説，使用 OAuth2 保護的 API 期望收到帶有值為 Bearer <access_token> 的 Authorization 標頭。

為了發送所需的 Authorization 標頭，我們首先需要通過向 /oauth/token 端點發出 POST 請求來獲取一個有效的訪問令牌。 此端點需要 HTTP Basic 身份驗證，使用 OAuth 客户端的 id 和 secret，以及指定 client_id、grant_type、username 和 password 的參數列表。

使用 Spring MVC 測試支持，參數可以封裝在 MultiValueMap 中，客户端身份驗證可以使用 httpBasic 方法。

讓我們創建一個方法來發送 POST 請求以獲取令牌，並從 JSON 響應中讀取 access_token 值：

private String obtainAccessToken(String username, String password) throws Exception {
 
    MultiValueMap<String, String> params = new LinkedMultiValueMap<>();
    params.add("grant_type", "password");
    params.add("client_id", "fooClientIdPassword");
    params.add("username", username);
    params.add("password", password);

    ResultActions result 
      = mockMvc.perform(post("/oauth/token")
        .params(params)
        .with(httpBasic("fooClientIdPassword","secret"))
        .accept("application/json;charset=UTF-8"))
        .andExpect(status().isOk())
        .andExpect(content().contentType("application/json;charset=UTF-8"));

    String resultString = result.andReturn().getResponse().getContentAsString();

    JacksonJsonParser jsonParser = new JacksonJsonParser();
    return jsonParser.parseMap(resultString).get("access_token").toString();
}

4.3. 測試 GET 和 POST 請求

可以使用 header(“Authorization”, “Bearer “+ accessToken) 方法將訪問令牌添加到請求中。

讓我們嘗試在沒有 Authorization 標頭的情況下訪問一個受保護的映射，並驗證我們是否收到 未授權 狀態碼：

@Test
public void givenNoToken_whenGetSecureRequest_thenUnauthorized() throws Exception {
    mockMvc.perform(get("/employee")
      .param("email", EMAIL))
      .andExpect(status().isUnauthorized());
}

我們已經指定只有具有 ADMIN 角色的用户才能訪問 /employee URL。 讓我們創建一個測試，其中我們獲取一個具有 USER 角色的用户的訪問令牌，並驗證我們是否收到 forbidden 狀態碼：

@Test
public void givenInvalidRole_whenGetSecureRequest_thenForbidden() throws Exception {
    String accessToken = obtainAccessToken("user1", "pass");
    mockMvc.perform(get("/employee")
      .header("Authorization", "Bearer " + accessToken)
      .param("email", "[email protected]"))
      .andExpect(status().isForbidden());
}

接下來，讓我們使用有效的訪問令牌測試我們的 API，通過向創建 Employee 對象發送 POST 請求，然後發送 GET 請求讀取創建的對象：

@Test
public void givenToken_whenPostGetSecureRequest_thenOk() throws Exception {
    String accessToken = obtainAccessToken("admin", "nimda");

    String employeeString = "{\"email\":\"[email protected]\",\"name\":\"Jim\"}";
        
    mockMvc.perform(post("/employee")
      .header("Authorization", "Bearer " + accessToken)
      .contentType(application/json;charset=UTF-8)
      .content(employeeString)
      .accept(application/json;charset=UTF-8))
      .andExpect(status().isCreated());

    mockMvc.perform(get("/employee")
      .param("email", "[email protected]")
      .header("Authorization", "Bearer " + accessToken)
      .accept("application/json;charset=UTF-8"))
      .andExpect(status().isOk())
      .andExpect(content().contentType(application/json;charset=UTF-8))
      .andExpect(jsonPath("$.name", is("Jim")));
}

5. 結論

在本快速教程中，我們演示瞭如何使用 Spring MVC 測試支持測試 OAuth 保護的 API。

要運行測試，項目包含一個 mvc 配置文件，可以使用命令 mvn clean install -Pmvc 運行。