Karate API场景中Basic Auth无法覆盖karate-config.json的Bearer令牌

核心问题原因 #

Karate中通过karate-config.js全局配置的Authorization头，会默认附加到所有请求中。如果仅在场景中新增Basic Auth的Authorization头，并不会自动覆盖全局的Bearer令牌，可能导致请求同时携带两个Authorization头，或Bearer令牌仍然生效。

解决方法 #

方法1：先清除全局Authorization头，再设置Basic Auth #

在需要负向测试的场景中，先通过configure命令清除全局的Authorization配置，再设置Basic Auth头：

Scenario: 验证未授权用户访问错误
    # 清除全局配置的Authorization头
    * configure headers = { Authorization: null }
    # 设置Basic Auth头（替换为你的无效凭证）
    * header Authorization = 'Basic ' + karate.encodeBase64('invalid-user:wrong-pass')
    Given url '你的API接口地址'
    When method get
    Then status 401
    And match response.error == '未授权访问，请提供有效凭证'

方法2：直接覆盖全局headers配置 #

如果你的全局令牌是存在karate-config.js的变量中，也可以直接修改全局headers配置，测试完成后可恢复原配置避免影响其他场景：

// karate-config.js中的配置示例
function fn() {
  var config = {
    baseUrl: 'https://your-api-domain.com',
    bearerToken: 'Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'
  };
  karate.configure('headers', { Authorization: config.bearerToken });
  return config;
}

场景中的代码：

Scenario: 验证未授权用户访问错误
    # 直接覆盖全局headers的Authorization配置
    * karate.configure('headers', { Authorization: 'Basic ' + karate.encodeBase64('invalid-user:wrong-pass') })
    Given url baseUrl + '/protected/resource'
    When method get
    Then status 401
    # 测试完成后恢复原Bearer令牌，不影响后续场景
    * karate.configure('headers', { Authorization: bearerToken })

方法3：通过请求日志排查问题 #

如果以上方法仍无效，开启请求日志确认实际发送的头信息：
在karate-config.js中添加日志配置：

karate.configure('logPrettyRequest', true);

执行测试后查看控制台日志，确认Authorization头是否被正确替换，是否存在多个Authorization头的情况，排查是否有其他脚本或feature重复设置了令牌。

内容的提问来源于stack exchange，提问作者Sankara Narayanan