如何在Provider部署新版本时验证含过期Auth token的Consumer Pacts？

核心原则：不要修改Broker上的原始Pact文件，因为Pact是Consumer对交互的期望记录，应保持其真实性。正确的做法是在Provider验证阶段动态替换过期的认证令牌，适配Provider当前的环境。

方案1：利用Provider SDK的请求拦截器（推荐） #

主流Pact Provider SDK都支持在验证请求发送前添加拦截逻辑，用于替换请求头中的过期token。以下是几种常用语言的实现示例：

Java（Spring Boot + Pact-JVM） #

通过PactVerificationContext添加请求过滤器，动态替换Authorization头：

@Provider("YourProvider")
@PactBroker(url = "${pact.broker.url}")
public class ProviderPactVerificationTest {

    @BeforeEach
    void configureVerification(PactVerificationContext context) {
        // 从流水线变量或密钥服务获取有效token
        String validAuthToken = System.getenv("PROVIDER_AUTH_TOKEN");
        
        context.addRequestFilter((request, filterContext) -> {
            // 替换请求中的过期token
            request.getHeaders().set("Authorization", "Bearer " + validAuthToken);
            return request;
        });
    }

    // 绑定Provider状态接口（如需）
    @State("user is authenticated")
    void setupAuthenticatedUser() {
        // 初始化Provider侧的认证状态（可选）
    }
}

Python（pact-python） #

使用before_request钩子拦截请求并更新token：

import os
from pact import Provider, Consumer

provider = Provider("YourProvider")
consumer = Consumer("YourConsumer")

@provider.verify
def verify_pacts():
    valid_token = os.getenv("PROVIDER_AUTH_TOKEN")
    
    def update_auth_header(request):
        if "Authorization" in request.headers:
            request.headers["Authorization"] = f"Bearer {valid_token}"
        return request
    
    provider.before_request(update_auth_header)
    provider.verify_pacts()

Ruby（pact-ruby） #

通过全局请求过滤器替换token：

require 'pact/provider/rspec'

Pact.provider_states_for 'YourConsumer' do
  provider_state 'user has valid session' do
    set_up do
      # 生成或获取有效token
      ENV['VALID_AUTH_TOKEN'] = AuthService.generate_token
    end
  end
end

# 全局拦截请求，替换过期token
Pact::Verification::RequestFilter.add do |request|
  if request.headers['Authorization']
    request.headers['Authorization'] = "Bearer #{ENV['VALID_AUTH_TOKEN']}"
  end
end

方案2：通过Provider状态注入认证信息 #

如果你的Pact交互依赖特定的Provider状态（如"用户已登录"），可以在状态初始化时生成有效token，并在验证时关联使用：

1. 在Provider状态的set_up方法中生成有效token，存储到环境变量或全局上下文。
2. 在请求拦截器中读取该token，替换Pact文件中的过期值。

这种方案更贴合Pact的设计理念，因为Provider状态本身就用于模拟Consumer请求所需的前置条件。

方案3：脚本预处理Pact文件（应急方案） #

如果SDK不支持拦截器，可以在验证前通过脚本拉取Pact文件并替换token，再执行验证。示例Shell脚本：

# 从Broker拉取目标Pact文件
pact-broker download pact \
  --consumer YourConsumer \
  --provider YourProvider \
  --output pact_original.json

# 调用认证服务获取有效token
VALID_TOKEN=$(curl -s -X POST https://your-auth-service/token \
  -u "${AUTH_CLIENT_ID}:${AUTH_CLIENT_SECRET}" \
  | jq -r '.access_token')

# 使用jq替换Pact文件中的过期token
jq --arg token "$VALID_TOKEN" \
  '.interactions[].request.headers.Authorization = "Bearer \($token)"' \
  pact_original.json > pact_updated.json

# 使用更新后的文件执行验证
pact-provider-verifier pact_updated.json \
  --provider-base-url "${PROVIDER_BASE_URL}"

注意：此方法会修改Consumer生成的原始Pact文件，可能导致验证结果无法准确反映Consumer的真实请求，仅建议作为临时应急方案。

流水线集成注意事项 #

• 安全获取token：从流水线的密钥管理系统（如GitLab CI变量、Jenkins Credentials、AWS Secrets Manager）读取token，禁止硬编码或明文输出。
• 动态传递token：通过环境变量将token传递给验证脚本或测试代码，避免在代码中写入固定值。
• 验证后清理：流水线结束后自动清除临时生成的token，避免敏感信息泄露。

内容的提问来源于stack exchange，提问作者Gowtham