如何结合IdentityServer授权码流与BFF运行Cypress端到端测试

1. 配置Duende IdentityServer客户端 #

完全可以给BFF客户端添加密码授权类型，仅在测试环境开启即可：

• 修改客户端配置的AllowedGrantTypes，加入GrantTypes.ResourceOwnerPassword
• 确保客户端拥有所需的Scope（如openid、profile，以及你的业务API Scope）
• 确认IdentityServer中存在测试用户（可通过AddTestUsers配置，或对接测试用户存储）

示例客户端配置（C#）：

new Client
{
    ClientId = "bff-client",
    ClientName = "BFF Web App",
    ClientSecrets = { new Secret("your-client-secret".Sha256()) },
    // 仅测试环境添加密码授权，生产环境仅保留授权码流
    AllowedGrantTypes = GrantTypes.Code.Union(GrantTypes.ResourceOwnerPassword),
    AllowedScopes = { "openid", "profile", "api1" },
    // 其他BFF相关配置（AllowedCorsOrigins、RedirectUris等）
}

2. 在Cypress中对接BFF完成登录 #

由于BFF框架（如ASP.NET Core BFF）将令牌存储在服务器端，前端仅持有会话Cookie，不能直接把令牌存入localStorage让BFF识别。推荐两种可靠方式：

方式一：添加测试专用BFF登录端点（优先推荐） #

在BFF项目中新增一个仅测试环境可用的登录接口，内部通过密码授权从IdentityServer拿令牌，再创建合法的BFF会话：

// 仅在测试环境注册此端点
if (env.IsEnvironment("Test"))
{
    app.MapPost("/test/login", async (HttpContext context, IConfiguration config) =>
    {
        var username = context.Request.Form["username"];
        var password = context.Request.Form["password"];
        
        // 调用IdentityServer令牌端点
        var tokenClient = new HttpClient();
        var tokenResponse = await tokenClient.RequestPasswordTokenAsync(new PasswordTokenRequest
        {
            Address = config["IdentityServer:Authority"] + "/connect/token",
            ClientId = config["Bff:ClientId"],
            ClientSecret = config["Bff:ClientSecret"],
            UserName = username,
            Password = password,
            Scope = "openid profile api1"
        });
        
        if (!tokenResponse.IsError)
        {
            // 利用BFF服务创建会话
            var bffSessionService = context.RequestServices.GetRequiredService<IBffSessionService>();
            await bffSessionService.CreateSessionAsync(new BffSessionCreationOptions
            {
                IdToken = tokenResponse.IdentityToken,
                AccessToken = tokenResponse.AccessToken,
                RefreshToken = tokenResponse.RefreshToken,
                ExpiresIn = tokenResponse.ExpiresIn
            });
            
            return Results.Ok();
        }
        
        return Results.Unauthorized();
    });
}

然后在Cypress中调用此端点完成登录：

Cypress.Commands.add('loginToBFF', (username, password) => {
  return cy.request({
    method: 'POST',
    url: '/test/login',
    form: true,
    body: {
      username: username,
      password: password
    }
  }).then(() => {
    // Cypress会自动保存BFF的会话Cookie
    cy.visit('/'); // 访问受保护页面，此时已处于登录状态
  });
});

// 测试用例中使用
describe('Protected Page', () => {
  it('loads successfully when logged in', () => {
    cy.loginToBFF('test-user', 'test-password');
    cy.contains('Welcome, test-user').should('be.visible');
  });
});

方式二：直接设置BFF会话Cookie（仅应急使用） #

如果无法修改BFF代码，可先手动登录测试环境，捕获BFF的会话Cookie值，再在Cypress中设置：

Cypress.Commands.add('setBffSessionCookie', () => {
  cy.setCookie('.AspNetCore.Bff.Session', 'your-captured-session-value', {
    domain: 'your-bff-domain',
    path: '/',
    secure: true,
    httpOnly: true
  });
});

这种方式维护成本高，Cookie过期后需重新捕获，仅作为临时方案。

3. 关键注意事项 #

• 仅限测试环境使用密码授权：密码授权安全性低，生产环境必须禁用，避免用户密码泄露。
• 使用隔离测试用户：不要用生产环境用户账号执行测试。
• 处理令牌有效期：确保测试用例执行时长短于令牌有效期，或在Cypress中添加令牌刷新逻辑。

内容的提问来源于stack exchange，提问作者jimmytricks