如何为Java中AccessTokenVerifier及JwtVerifiers编写JUnit测试用例

一、排查"Failed to parse token"异常 #

• 检查测试JWT格式：必须是合法的Base64Url编码三段式结构（header.payload.signature），不能包含换行、空格，也不能是未签名的无效token。
• 确认token结构合规：测试用的AccessToken需符合标准JWT结构，header中必须包含typ: "JWT"字段，以及与Verifier配置匹配的alg算法（比如RS256）。
• 核对Verifier初始化配置：确保测试环境中Verifier的issuer、audience与生成token的配置完全一致，避免误加载错误的JWKS端点。

二、编写测试用例实现100%覆盖率 #

1. 正常验证场景 #

@Test
void verifyValidTokenSuccess() {
    // 使用合法的测试JWT（可通过Okta测试工具或JWT库构造）
    String validToken = "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...";
    AccessTokenVerifier verifier = buildTestVerifier();
    
    assertDoesNotThrow(() -> verifier.verify(validToken));
}

2. 异常场景覆盖（全分支覆盖） #

• 无效格式token测试：覆盖解析失败的分支

@Test
void verifyInvalidFormatTokenThrowsException() {
    AccessTokenVerifier verifier = buildTestVerifier();
    
    assertThrows(JwtVerificationException.class, () -> verifier.verify("invalid-token-format"));
    assertThrows(JwtVerificationException.class, () -> verifier.verify(""));
    assertThrows(JwtVerificationException.class, () -> verifier.verify("header.payload")); // 缺少signature段
}

• 签名验证失败测试：覆盖签名不匹配的分支

@Test
void verifyInvalidSignatureTokenThrowsException() {
    // 构造格式正确但签名无效的token
    String invalidSigToken = "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyLCJhdWQiOiJhcGk6Ly9kZWZhdWx0IiwiaXNzIjoiaHR0cHM6Ly95b3VyLW9rdGEtZG9tYWluLmNvbS9vYXV0aDIvZGVmYXVsdCJ9.invalidSignatureThatWontMatch";
    AccessTokenVerifier verifier = buildTestVerifier();
    
    assertThrows(JwtVerificationException.class, () -> verifier.verify(invalidSigToken));
}

• Claims验证失败测试：覆盖issuer/audience不匹配、token过期等分支

@Test
void verifyInvalidClaimsTokenThrowsException() {
    // 构造格式与签名正确但issuer不匹配的token
    String wrongIssuerToken = "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyLCJhdWQiOiJhcGk6Ly9kZWZhdWx0IiwiaXNzIjoiaHR0cHM6Ly93cm9uZy1pc3N1ZXIuY29tIn0.validSignatureButWrongIssuer";
    AccessTokenVerifier verifier = buildTestVerifier();
    
    assertThrows(JwtVerificationException.class, () -> verifier.verify(wrongIssuerToken));
}

3. 复用测试初始化逻辑 #

将Verifier的初始化抽为私有方法，减少重复代码：

private AccessTokenVerifier buildTestVerifier() {
    return AccessTokenVerifier.builder()
        .setIssuer("https://your-okta-domain.com/oauth2/default")
        .setAudience("api://default")
        .build();
}

三、额外优化提示 #

• 若不想依赖真实Okta服务，可使用JJWT等JWT库构造自定义测试token，或使用Okta官方提供的测试专用JWKS端点。
• 借助JaCoCo插件扫描覆盖率，针对未覆盖的分支（比如Verifier初始化的参数合法性校验）补充对应测试用例。

内容的提问来源于stack exchange，提问作者Rps cafyf