如何测试Spring REST端点安全并避免初始化数据库连接（Spring Boot 2.7）

要实现仅测试控制器权限校验、不初始化数据库的目标，核心是用@WebMvcTest聚焦控制器层，同时禁用数据库自动配置，结合Spring Security的测试工具模拟无权限用户。

完整测试示例 #

import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.autoconfigure.web.servlet.WebMvcTest;
import org.springframework.boot.test.autoconfigure.jdbc.AutoConfigureTestDatabase;
import org.springframework.security.test.context.support.WithMockUser;
import org.springframework.test.web.servlet.MockMvc;

import static org.springframework.test.web.servlet.request.MockMvcRequestBuilders.get;
import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.status;

// 仅加载目标控制器，排除其他无关组件
@WebMvcTest(YourProtectedController.class)
// 完全禁用测试数据库初始化
@AutoConfigureTestDatabase(replace = AutoConfigureTestDatabase.Replace.NONE)
public class ProtectedControllerPermissionTest {

    @Autowired
    private MockMvc mockMvc;

    // 模拟无指定角色的普通用户请求受保护端点
    @Test
    @WithMockUser(username = "testUser", roles = {"USER"}) // 假设受保护端点需要ADMIN角色
    public void requestProtectedEndpointWithoutRequiredRole_returns403() throws Exception {
        mockMvc.perform(get("/api/protected/admin-only"))
                .andExpect(status().isForbidden());
    }

    // 模拟匿名用户请求受保护端点
    @Test
    public void anonymousRequestProtectedEndpoint_returns403() throws Exception {
        mockMvc.perform(get("/api/protected/admin-only"))
                .andExpect(status().isForbidden());
    }
}

关键配置说明 #

• @WebMvcTest：只加载控制器、Spring MVC相关组件（如拦截器、转换器），不会加载Service、Repository等业务层组件，从根源避免数据库初始化触发。
• @AutoConfigureTestDatabase(replace = AutoConfigureTestDatabase.Replace.NONE)：强制禁用Spring Boot自动配置的测试数据库（如H2内存库），彻底切断数据库连接逻辑。
• @WithMockUser：快速模拟已认证但权限不足的用户，可自定义用户名、角色；如果要测试匿名访问，直接去掉该注解即可。

若需引入自定义Security配置 #

如果项目有自定义的Spring Security配置类，需要通过@Import引入到测试类中，确保权限规则生效：

@WebMvcTest(YourProtectedController.class)
@AutoConfigureTestDatabase(replace = AutoConfigureTestDatabase.Replace.NONE)
@Import(YourSecurityConfig.class) // 引入自定义Security配置
public class ProtectedControllerPermissionTest {
    // ... 测试方法不变
}

内容的提问来源于stack exchange，提问作者Gladik