Symfony项目Behat测试中模拟Auth0 API登录的实现方法问询

我们在基于Symfony和API Platform的大型项目中，正将认证方式从JWT Bearer令牌迁移至Auth0访问令牌。用户侧迁移已顺利完成，但大量用于保障API功能的Behat测试仍采用旧认证方式，需同步迁移以彻底移除旧认证机制，目前未找到相关实现资料，特此寻求可行方案。

当前JWT Bearer登录的Behat实现代码如下：

CustomKernelApiContext.php

/**
     * @Given I am authenticated as :username
     */
    public function iAmAuthenticatedAs(string $username): void
    {
        $user = $this->apiUserProvider->loadUserByUsername($username);

        $token = $this->kernel->getContainer()->get('lexik_jwt_authentication.jwt_manager')->create($user);
        $this->addRequestHeader('HTTP_AUTHORIZATION', 'Bearer ' . $token);
    }

可行实现方案 #

方案一：直接生成符合Auth0格式的测试令牌（推荐用于集成测试） #

测试环境无需依赖Auth0外部服务，只需生成符合项目Auth0验证规则的JWT令牌即可。步骤如下：

1. 确认项目中Auth0令牌的核心验证规则：签名算法（如HS256/RS256）、密钥/公钥、必填声明字段（iss、sub、aud等）
2. 使用JWT库（如firebase/php-jwt）生成符合要求的令牌，关联测试用户
3. 修改原有Behat上下文方法，替换为生成Auth0格式令牌的逻辑

修改后的代码示例：

use Firebase\JWT\JWT;

/**
 * @Given I am authenticated as :username
 */
public function iAmAuthenticatedAs(string $username): void
{
    $user = $this->apiUserProvider->loadUserByUsername($username);
    
    // 按项目Auth0配置填充声明字段
    $payload = [
        'iss' => $_ENV['AUTH0_DOMAIN'], // 格式如https://your-domain.auth0.com/
        'sub' => 'auth0|' . $user->getId(), // 匹配Auth0用户ID格式，按需调整
        'aud' => $_ENV['AUTH0_AUDIENCE'], // API标识符
        'exp' => time() + 3600, // 令牌过期时间
        'iat' => time(),
        // 自定义声明：如用户权限、角色，根据项目需求添加
        'permissions' => $this->getUserPermissions($user)
    ];
    
    // 按项目使用的签名算法生成令牌，HS256用密钥，RS256用私钥
    $token = JWT::encode($payload, $_ENV['AUTH0_TEST_SECRET'], 'HS256');
    
    $this->addRequestHeader('HTTP_AUTHORIZATION', 'Bearer ' . $token);
}

/**
 * 辅助方法：获取用户权限列表（按项目实际逻辑实现）
 */
private function getUserPermissions($user): array
{
    return array_map(fn($role) => $role->getName(), $user->getRoles());
}

方案二：调用Auth0 Token端点获取真实令牌（适合端到端测试） #

若需模拟真实用户登录流程，可直接调用Auth0的Token端点获取访问令牌：

1. 在Auth0测试环境创建专用测试用户
2. 在Behat上下文中发送POST请求到Auth0的/oauth/token端点获取令牌
3. 将令牌添加至请求头

代码示例：

use GuzzleHttp\Client;

/**
 * @Given I am authenticated as :username
 */
public function iAmAuthenticatedAs(string $username): void
{
    $client = new Client();
    $response = $client->post($_ENV['AUTH0_DOMAIN'] . '/oauth/token', [
        'form_params' => [
            'grant_type' => 'password',
            'username' => $username,
            'password' => $_ENV['AUTH0_TEST_USER_PASSWORD'],
            'audience' => $_ENV['AUTH0_AUDIENCE'],
            'client_id' => $_ENV['AUTH0_TEST_CLIENT_ID'],
            'client_secret' => $_ENV['AUTH0_TEST_CLIENT_SECRET'],
        ]
    ]);
    
    $tokenData = json_decode($response->getBody()->getContents(), true);
    $this->addRequestHeader('HTTP_AUTHORIZATION', 'Bearer ' . $tokenData['access_token']);
}

注意事项 #

• 方案一速度快、无外部依赖，适合大部分集成测试场景
• 方案二模拟真实流程，但依赖Auth0测试环境稳定性，需维护测试用户信息
• 在.env.test中配置好Auth0相关环境变量：AUTH0_DOMAIN、AUTH0_AUDIENCE、AUTH0_TEST_SECRET等
• 验证项目的Auth0认证逻辑能正确解析生成的令牌，重点检查签名、iss、aud等字段

内容的提问来源于stack exchange，提问作者YannPl