Spring控制器单元测试是否需排除安全校验？哪种方案更优？

这两种方案没有绝对的“最优”，核心是看你当前测试的关注点是什么，两者各司其职，甚至可以结合使用：

1. 绕过安全：专注业务逻辑验证 #

当你的测试目标是验证控制器本身的业务逻辑正确性时（比如请求参数绑定是否正确、服务调用是否符合预期、响应状态/内容是否正常），绕过安全是更高效的选择：

• 不用处理认证、授权的细节，测试用例更简洁，执行速度更快
• 聚焦控制器的核心职责：接收请求、调用业务服务、返回响应

你提供的示例代码就是典型的业务逻辑测试：测试创建公司的流程中，控制器能否正确接收请求、调用companyService.saveNewCompany、返回201状态和Location头。这种场景下，安全规则不是测试的重点，用@AutoConfigureMockMvc(addFilters = false)绕过完全合理。

2. 纳入安全校验：验证权限规则 #

当你的测试目标是验证接口的安全控制是否生效时，就需要保留安全校验，用@WithMockUser等注解模拟不同角色的用户：

• 测试无权限用户（匿名、非USER/ADMIN角色）访问时是否返回401/403
• 测试拥有USER/ADMIN角色的用户是否能正常访问接口
• 验证控制器上的权限注解（比如@PreAuthorize("hasAnyRole('ADMIN','USER')")）是否配置正确

举个这类测试的示例：

@WebMvcTest(CompanyController.class)
class CompanyControllerSecurityTest {

    @Autowired
    private MockMvc mockMvc;

    @MockBean
    private CompanyService companyService;

    @Autowired
    private ObjectMapper objectMapper;

    @Test
    @WithMockUser(roles = SecurityConfig.USER)
    void shouldAllowUserRoleToCreateCompany() throws Exception {
        CompanyDto companyDto = CompanyDto.builder()
                .companyName("Test Company")
                .description("Test Description")
                .build();
        given(companyService.saveNewCompany(companyDto)).willReturn(companyDto);

        mockMvc.perform(post("/companies")
                .contentType(MediaType.APPLICATION_JSON)
                .content(objectMapper.writeValueAsString(companyDto)))
                .andExpect(status().isCreated());
    }

    @Test
    @WithAnonymousUser
    void shouldRejectAnonymousUser() throws Exception {
        CompanyDto companyDto = CompanyDto.builder().companyName("Test Company").build();

        mockMvc.perform(post("/companies")
                .contentType(MediaType.APPLICATION_JSON)
                .content(objectMapper.writeValueAsString(companyDto)))
                .andExpect(status().isUnauthorized());
    }

    @Test
    @WithMockUser(roles = "GUEST")
    void shouldRejectGuestRole() throws Exception {
        CompanyDto companyDto = CompanyDto.builder().companyName("Test Company").build();

        mockMvc.perform(post("/companies")
                .contentType(MediaType.APPLICATION_JSON)
                .content(objectMapper.writeValueAsString(companyDto)))
                .andExpect(status().isForbidden());
    }
}

3. 最优实践：拆分测试场景 #

建议将两种测试分开：

• 编写一批业务逻辑测试：绕过安全，覆盖控制器的各种业务场景（比如创建、查询、修改、删除的正常/异常流程）
• 编写一批安全规则测试：保留安全校验，专门验证接口的权限控制逻辑

这样既保证了业务逻辑测试的高效性，又确保了安全规则的正确性，两者互补，不会遗漏任何测试点。

内容的提问来源于stack exchange，提问作者robertos