Spring Аутентификация загрузки для тестов интеграции

Я пытаюсь запустить интеграционный тест для своего контроллера, но у меня возникают проблемы, если я не аутентифицирую. Здесь мой контроллер:

Когда я запускаю это, все работает. Но если я прокомментирую строку:

Очевидно, что аннотации безопасности наверху не работают. Так в чем же проблема и как ее исправить?

Изменить 2: По предложению skadya я создал новый класс:

Но теперь, когда я запускаю свой интеграционный тест, я получаю следующую ошибку:

Похоже, что он столкнулся с конфигурацией websecurity, которую мы имеем в обычном проекте. Вот этот файл:

Я попытался добавить @Order(1000), который исправил вышеупомянутую проблему, но все же оказался в 401 Unauthorized

Ответы

Ответ 1

Я выяснил, как это сделать без проверки подлинности в памяти и/или насмешек.

public class TestConf extends WebSecurityConfigurerAdapter {
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.csrf()
                .disable()
                .authorizeRequests()
                .anyRequest()
                .permitAll();
    }
}

И используйте активные профили spring для запуска указанной конфигурации только при запуске тестовых примеров.

Ответ 2

Вы можете попробовать исключить несколько автоконфигураций:

@EnableAutoConfiguration(exclude = {
org.springframework.boot.autoconfigure.security.SecurityAutoConfiguration.class,
org.springframework.boot.autoconfigure.security.SecurityFilterAutoConfiguration.class,
org.springframework.boot.autoconfigure.security.FallbackWebSecurityAutoConfiguration.class,
org.springframework.boot.autoconfigure.security.oauth2.OAuth2AutoConfiguration.class
})

Btw, более элегантный способ исключить материал - это определить application-test.properties в ваших тестовых источниках и пометить ваш тест с помощью @Profile("test"). Затем просто добавьте это в свою конфигурацию:

spring.autoconfigure.exclude=org.springframework.boot.autoconfigure.security.SecurityAutoConfiguration,org.springframework.boot.autoconfigure.security.SecurityFilterAutoConfiguration,org.springframework.boot.autoconfigure.security.FallbackWebSecurityAutoConfiguration,org.springframework.boot.autoconfigure.security.oauth2.OAuth2AutoConfiguration

Все возможные конфигурации, которые можно исключить, можно найти здесь: spring.factories

Ответ 3

Похоже, что аутентификация работает, но вы неправильно обрабатываете ответ.

Вот код ниже, где вы пытаетесь разобрать ответ как List<Foo>

ResponseEntity response = template.exchange("/get",
    HttpMethod.GET,
    request,
    new ParameterizedTypeReference<List<Foo>>() {}
);

Но поскольку вы не предоставили заголовок аутентификации, сервер отвечает с некоторой пользовательской ошибкой (очевидно, завернутой в Json Object), и вы получаете это исключение в тесте, говоря, что он не может разобрать ArrayList из Json Object (который запускается с маркером START_OBJECT, например {).

Could not read JSON document: Can not deserialize instance of java.util.ArrayList out of START_OBJECT token

Попробуйте обработать ответ как объект, чтобы вы могли видеть, что на самом деле происходит там.

template.exchange("/get", HttpMethod.GET, request, Object.class);

Но это не будет работать как окончательное решение. Я полагаю, что вы должны обработать тело ответа на основе кода ответа Http, если этот 200 - разобрать как List<>, иначе проанализировать как Map<> или любую структуру, которую сервер возвращает.

Ответ 4

Похоже, что настройки безопасности по умолчанию получаются. Если я не увижу вашу полную конфигурацию, это сложно подтвердить. Если возможно, можете ли вы опубликовать свой минимальный проект (на github?).

Поскольку вы не хотите применять проверку подлинности во время выполнения интеграционных тестов, вы можете включить анонимный доступ к ресурсам приложений.

Чтобы включить анонимный доступ, вы можете добавить ниже класс в каталог тестового источника. Он настроит анонимный доступ при загрузке веб-приложения. (не должен видеть код ответа 401)

@Configuration
public class AllowAnonymousWebAccess extends WebSecurityConfigurerAdapter {
    @Override
    public void configure(HttpSecurity web) throws Exception {
        web.antMatcher("**/*").anonymous();
    }
}

Ответ 5

У вас есть несколько вариантов обеспечения аутентификации в тесте интеграции загрузки spring. Возможно, вам придется настроить несколько вещей, чтобы все это работало в конце.

Макетный подход

Это использует тест WebApplicationContext, введенный в MockMvc с @WithMockUser для предоставления пользователю аутентификации и WithMockUserSecurityContextFactory создания контекста безопасности для пользователя-макета.

SecurityMockMvcConfigurers регистрирует фильтр безопасности springSecurityFilterChain с помощью MockMvc.

import org.junit.Before;
import org.junit.Test;
import org.junit.runner.RunWith;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.context.SpringBootTest;
import org.springframework.http.MediaType;
import org.springframework.security.test.context.support.WithMockUser;
import org.springframework.test.context.junit4.SpringJUnit4ClassRunner;
import org.springframework.test.web.servlet.MockMvc;
import org.springframework.test.web.servlet.setup.MockMvcBuilders;
import org.springframework.web.context.WebApplicationContext;

import static org.hamcrest.Matchers.is;
import static org.hamcrest.Matchers.notNullValue;
import static org.springframework.security.test.web.servlet.setup.SecurityMockMvcConfigurers.springSecurity;
import static org.springframework.test.web.servlet.request.MockMvcRequestBuilders.post;
import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.*;

@RunWith(SpringRunner.class)
@SpringBootTest(webEnvironment = SpringBootTest.WebEnvironment.MOCK)
public class HelloControllerIT  {

    @Autowired
    private WebApplicationContext context;

    private  MockMvc mvc;

    @Before
    public void setup() {
        mvc = MockMvcBuilders
                .webAppContextSetup(context)
                .apply(springSecurity()) // enable security for the mock set up
                .build();
    }

    @WithMockUser(value = "test", password = "pass")
    @Test
    public void test() throws Exception {
        String contentType = MediaType.APPLICATION_JSON + ";charset=UTF-8";

        String authzToken = mvc
                .perform(
                        post("/authenticate")
                                .contentType(
                                        MediaType.APPLICATION_JSON).
                            content("")).
                 andExpect(status().isOk())
                .andExpect(content().contentType(contentType))
                .andExpect(jsonPath("$.token", is(notNullValue())))
                .andReturn().getResponse().getContentAsString();

        System.out.print(authzToken);//{"token":"1a3434a"}

    }

}

Подход на основе аутсорсинга на основе данных

В этом случае используется оператор auth с внутренней памятью с базовым пользователем аутентификации.

Зарегистрировать провайдера auth в памяти и включить базовое auth, отключить анонимный доступ в HttpSecurity в WebSecurityConfigurerAdapter.

Когда зарегистрирован провайдер в памяти, DefaultInMemoryUserDetailsManagerConfigurer создает базовый пользователь auth в памяти.

Когда базовая аутентификация включена, HttpBasicConfigurer настраивает BasicAuthenticationFilter. Аутентифицирует тестового пользователя и создает контекст безопасности.

Конфигурация безопасности

@EnableWebSecurity
@EnableWebMvc
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class WebSecurityConfig extends WebSecurityConfigurerAdapter {

    @Override
    public void configure(AuthenticationManagerBuilder auth) throws Exception {
                    // register test user with in memory authentication provider 
        auth.inMemoryAuthentication().withUser("test").password("pass").roles("ROLES");
    }

                @Override
    public void configure(HttpSecurity http) throws Exception {
                    // enable basic authentication & disable anoymous access
        http.authorizeRequests().anyRequest().authenticated().and().httpBasic().and().anonymous().disable();    
    }

}

Конечная точка аутентификации

@Controller
@RequestMapping("/authenticate")
public class AuthenticationController {

    @RequestMapping(method = RequestMethod.POST)
    @ResponseBody
    public TokenClass getToken() {
        TokenClass tokenClass = new TokenClass();
        tokenClass.setToken("1a3434a");
        return tokenClass;
    }

}

Pojo

public class TokenClass {

    private String token;

    public String getToken() {
        return token;
    }

    public void setToken(String token) {
        this.token = token;
    }
}

Контрольный контроллер

import com.fasterxml.jackson.databind.JsonNode;
import org.junit.Test;
import org.junit.runner.RunWith;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.context.SpringBootTest;
import org.springframework.boot.test.web.client.TestRestTemplate;
import org.springframework.http.*;
import org.springframework.test.context.junit4.SpringRunner;

import java.util.Arrays;
import java.util.Base64;

@RunWith(SpringRunner.class)
@SpringBootTest(webEnvironment = SpringBootTest.WebEnvironment.RANDOM_PORT)
public class HelloControllerIT  {

    @Autowired
    private TestRestTemplate template;

    @Test
    public void test() throws Exception {
        HttpHeaders authHeaders = new HttpHeaders();
        String token = new String(Base64.getEncoder().encode(
                ("test" + ":" + "pass").getBytes()));
        authHeaders.set("Authorization", "Basic " + token);
        JsonNode loginResponse = template.postForObject("/authenticate", new HttpEntity<>(null, authHeaders), JsonNode.class);

        HttpHeaders authzHeaders = new HttpHeaders();
        authzHeaders.setAccept(Arrays.asList(MediaType.APPLICATION_JSON));
        authzHeaders.add("X-Authorization", "Bearer " + loginResponse.get("token").textValue());
        authzHeaders.add("Content-Type", "application/json");

        ResponseEntity response = template.exchange("/secure",
                HttpMethod.GET,
                new HttpEntity<>(null, authzHeaders),
                String.class
        );
    }
}