如何单元测试Flask应用路由是否受Authlib ResourceProtector保护？

我有一个Flask应用，部分路由受Authlib的ResourceProtector保护。我希望验证配置的路由确实被authlib.integrations.flask_oauth2.ResourceProtector保护，但不想花费精力生成有效的JWT令牌——毕竟我要测试的是自己的代码逻辑，而非Authlib本身。核心需求是确认访问端点时ResourceProtector会被调用，应该可以通过Mock实现，但想知道有没有官方支持的方法。

示例业务代码 #

from authlib.integrations.flask_oauth2 import ResourceProtector
from flask import Flask

require_auth = ResourceProtector()
require_auth.register_token_validator(validator)

APP = Flask(__name__)


@APP.route("/")
@require_auth(None)
def home():
    return "Authorized!"

目标测试代码框架 #

from my_module import APP

class TestApi:

    @property
    def client(self):
        return APP.test_client()

    def test_response_without_oauth(self):
        response = self.client.get("/")

        assert response.status_code == 401

    def test_response_with_auth0(self):
        # 这里需要Mock或其他方式跳过真实验证
        response = self.client.get("/")

        assert response.text == "Authorized!"

解决方案 #

方法1：验证ResourceProtector被调用 #

使用unittest.mock直接Mockrequire_auth的调用逻辑，确保路由访问时会触发保护机制：

from unittest.mock import patch
from my_module import APP, require_auth

class TestApi:
    @property
    def client(self):
        return APP.test_client()

    def test_resource_protector_triggered(self):
        with patch.object(require_auth, '__call__') as mock_auth:
            # 让Mock返回一个透传视图函数的包装器
            mock_auth.return_value = lambda view_func: view_func
            self.client.get("/")
            # 确认ResourceProtector的装饰器逻辑被调用
            mock_auth.assert_called_once_with(None)

方法2：模拟验证通过的场景 #

如果需要测试视图在验证通过后的正常响应，可以Mock令牌验证器的validate_token方法，直接返回有效结果：

from unittest.mock import patch
from my_module import APP, validator

class TestApi:
    @property
    def client(self):
        return APP.test_client()

    def test_authorized_response(self):
        with patch.object(validator, 'validate_token') as mock_validate:
            # 模拟令牌验证通过，返回符合要求的用户信息
            mock_validate.return_value = {'sub': 'test_user_id'}
            # 携带假令牌发起请求
            response = self.client.get("/", headers={"Authorization": "Bearer fake_token"})
            assert response.text == "Authorized!"
            # 验证验证器的方法确实被调用
            mock_validate.assert_called_once_with("fake_token", None)

官方实践参考 #

Authlib官方推荐在测试时通过Mock隔离第三方依赖，避免重复测试Authlib自身的令牌验证逻辑。上述两种方式都符合这一最佳实践：既验证了路由是否正确应用了保护，又无需生成真实的JWT令牌。

内容的提问来源于stack exchange，提问作者LondonRob