如何在Rails默认测试框架中发起临时API调用并验证权限？

疑问1：Ruby测试代码能否通过Selenium从浏览器获取会话cookie和CSRF token？ #

完全可以：

• 获取会话Cookie：用Selenium的Cookie管理API，比如driver.manage.all_cookies，从中提取Rails的会话Cookie（通常命名为_<你的应用名>_session）；
• 获取CSRF token：通过执行JS提取页面的meta标签值，代码示例：

  csrf_token = driver.execute_script("return document.querySelector('meta[name=\"csrf-token\"]').content")
  

  也可以直接从页面的表单隐藏字段里获取。

疑问2：是否应通过Selenium让浏览器执行自定义JavaScript来测试服务器的正确响应？ #

分场景来看：

• 如果是模拟用户在浏览器控制台手动执行恶意JS（比如篡改请求参数修改他人数据），这种方式很合适，能直接验证服务器对这类异常请求的拦截逻辑；
• 但如果要模拟完全脱离浏览器环境的恶意HTTP请求，这种方式就不够——因为它还是在浏览器的会话上下文里，没法彻底还原“非应用JS生成的请求”场景。

疑问3：是否应跳过浏览器，直接用Ruby代码发起一系列HTTP请求？ #

必须做这类测试，这是验证权限控制有效性的关键：

• 用Ruby的HTTP库（比如Net::HTTP、Faraday）构造请求，手动带上从Selenium或Rails测试框架拿到的会话Cookie和CSRF token，模拟跨用户的越权请求；
• 重点验证服务器返回的状态码（比如403 Forbidden）和响应内容，确保攻击者无法通过直接构造请求来访问或修改他人数据。

更简单的替代方案 #

不用复杂的Selenium操作，Rails自带的测试工具就能搞定：

• 系统测试（System Tests）+ Capybara：既能模拟正常用户的浏览器操作，也能通过page.driver.browser.manage.all_cookies和page.find('meta[name="csrf-token"]')['content']快速获取会话和CSRF信息；
• 请求测试（Request Tests）：这是验证权限控制最高效的方式——直接在测试中登录用户，拿到会话和CSRF token，构造跨用户的API请求，验证权限拦截逻辑；
• 核心提醒：CSRF防护和权限控制是两回事，CSRF防的是跨站请求伪造，而权限控制要确保用户只能访问自己的数据，测试时要分开验证这两个逻辑。

内容的提问来源于stack exchange，提问作者Zack