如何在WSO2平台实现SMSOTP多因素认证的自动化测试

针对SMS OTP作为第二认证因子的MFA流程自动化测试需求，无需手机接收短信即可获取验证码的可行实现方案如下：

• 替换测试环境短信发送实现为Mock服务
  WSO2 IS的短信发送逻辑支持自定义扩展，你可以在测试环境中将默认对接第三方短信网关的实现替换为自定义适配器：生成OTP后直接写入本地缓存、测试专用数据库，或额外暴露一个仅对内网测试环境开放的接口，返回对应用户最新生成的OTP值。测试脚本触发MFA流程后，直接调用该内部接口即可获取验证码完成校验。
• 开启调试日志抓取OTP明文
  无需修改业务代码，仅需调整测试环境中SMS OTP模块的日志级别到DEBUG，服务端生成OTP时会自动将明文OTP、对应用户ID、手机号等信息打印到运行日志中。测试脚本配置测试环境服务日志读取权限后，可通过用户标识、手机号等关键字过滤出对应最新生成的OTP值。
• 配置测试环境固定OTP值
  SMS OTP Authenticator扩展支持测试模式配置，你可以在测试环境中设置白名单测试手机号对应的固定OTP值，或是开启全局测试固定验证码，测试脚本直接使用预设的固定值完成校验即可，该方案改动量最小，适合快速搭建回归测试流程。

注：官方提供的校验端点、扩展自带的校验端点均出于安全设计不会返回OTP明文，无需尝试通过公开接口拉取验证码内容。

内容的提问来源于stack exchange，提问作者Gustavo Portillo