使用devise_token_auth、FactoryBot与RSpec时POST请求401未授权问题

我之前也踩过这个坑，结合Devise Token Auth的认证特性和RSpec控制器测试的细节，给你梳理几个关键的解决步骤：

1. 必须设置Devise映射环境变量 #

你提到的Devise Wiki内容是对的——在RSpec控制器测试中，必须手动设置devise.mapping，因为Devise Token Auth需要通过这个变量识别对应的用户模型。

把这段代码加到你的测试before块里：

before do
  @user = FactoryBot.create(:user)
  # 关键：设置Devise映射
  @request.env["devise.mapping"] = Devise.mappings[:user]
end

2. 别依赖sign_in，要手动传递Token Auth请求头 #

这里是很多人踩坑的点：传统Devise的sign_in方法是基于session的，但Devise Token Auth是靠请求头里的access-token、client、uid参数来认证的，sign_in不会自动把这些token信息加到请求里。

解决方法是调用用户模型的create_new_auth_token方法生成认证头，然后合并到请求头中：

before do
  @user = FactoryBot.create(:user)
  @request.env["devise.mapping"] = Devise.mappings[:user]
  # 生成并设置Token Auth请求头
  auth_headers = @user.create_new_auth_token
  @request.headers.merge!(auth_headers)
end

这个方法会返回包含所有必要认证参数的哈希，合并到@request.headers后，你的POST请求就能被正确识别为已认证用户发起的了。

3. 额外排查点 #

• 确认控制器认证逻辑：检查ScriptsController是否添加了before_action :authenticate_user!（Devise Token Auth的认证钩子），确保#create action确实需要用户认证。
• 验证测试参数和路由：确保POST请求的路由正确（比如用post scripts_path而不是硬编码路径），参数和FactoryBot生成的用户关联正确（比如如果Script属于User，要确保参数里的user_id是测试用户的ID，或者控制器里自动关联当前用户）。
• 测试环境不加载种子数据：测试环境默认不会执行db:seed，所以你提到的“参数与种子数据一致”没用——必须用FactoryBot创建的测试用户来做认证，不要依赖种子数据里的用户。

完整测试用例示例 #

require 'rails_helper'

RSpec.describe ScriptsController, type: :controller do
  let(:valid_script_attributes) {
    FactoryBot.attributes_for(:script, user_id: @user.id)
  }

  before do
    @user = FactoryBot.create(:user)
    # 设置Devise映射
    @request.env["devise.mapping"] = Devise.mappings[:user]
    # 注入Token Auth请求头
    auth_headers = @user.create_new_auth_token
    @request.headers.merge!(auth_headers)
  end

  describe "POST #create" do
    it "increments Script count by 1" do
      expect {
        post :create, params: { script: valid_script_attributes }
      }.to change(Script, :count).by(1)
    end

    it "returns 201 Created status code" do
      post :create, params: { script: valid_script_attributes }
      expect(response).to have_http_status(:created)
    end
  end
end

按照这个方式调整后，你的测试应该就能正常通过了——核心就是适配Devise Token Auth的token-based认证机制，而不是沿用传统Devise的session认证逻辑。

内容的提问来源于stack exchange，提问作者AakLak