如何使用REST+CodeceptJS测试受Auth0、OAuth2保护的API？

前置准备 #

提前准备好Auth0侧的必要配置参数：

• Auth0租户的域名
• 测试专用的客户端ID、客户端密钥
• 目标API的受众标识（Audience）
• 授权模式优先选择客户端凭证模式，适配无交互的服务端API测试场景

第一步：配置CodeceptJS基础参数 #

修改项目根目录下的codecept.conf.js，完成REST helper的基础配置：

exports.config = {
  helpers: {
    REST: {
      endpoint: '你的目标API根地址',
      defaultHeaders: {
        'Content-Type': 'application/json',
      }
    },
  },
  // 其他全局配置项根据业务需要补充
}

第二步：封装Auth0 Token获取逻辑 #

把Token获取逻辑封装为全局公共方法，避免每个测试用例重复编写：

// 写在steps_file.js或者单独的工具文件中
const axios = require('axios');

async function getAuth0Token() {
  const response = await axios.post('https://你的Auth0域名/oauth/token', {
    client_id: '你提前准备的客户端ID',
    client_secret: '你提前准备的客户端密钥',
    audience: '你提前准备的API受众标识',
    grant_type: 'client_credentials'
  });
  return response.data.access_token;
}

// 注册为CodeceptJS全局可用步骤
module.exports = function() {
  return actor({
    getAuth0Token,
    // 其他自定义步骤可在此补充
  });
}

第三步：编写带认证的测试用例 #

实际业务测试用例示例：

Feature('受OAuth2保护的业务API测试');

Scenario('测试获取用户列表接口', async ({ I }) => {
  // 提前获取Auth0授权Token
  const token = await I.getAuth0Token();
  // 为当前请求挂载认证头
  I.haveRequestHeaders({
    Authorization: `Bearer ${token}`
  });
  // 发送业务请求
  I.sendGetRequest('/api/users/list');
  // 响应断言
  I.seeResponseCodeIs(200);
  I.seeResponseContainsKeys(['data', 'pageNum', 'total']);
});

落地优化建议 #

• 可以把Token获取逻辑放在Before全局钩子中，所有测试用例自动挂载认证头，无需每个用例单独调用
• 客户端密钥等敏感信息不要硬编码在配置文件中，建议通过环境变量传入，避免敏感信息泄露
• 若Token存在有效时长，可以增加缓存逻辑，同一测试批次内复用有效Token，减少不必要的Auth0接口请求

内容的提问来源于stack exchange，提问作者Yuri Fedorov