Spring Boot测试中如何跳过TestRestTemplate的身份验证？

我来帮你排查下这个问题，我之前也碰到过类似的情况，常见的几个原因和对应的解决方法如下：

1. 确保测试类正确启用Spring Security测试支持 #

首先，你的测试类得搭对基础配置——如果是Spring Boot项目，必须加上@SpringBootTest，还要配合@AutoConfigureMockMvc来让MockMvc加载Spring Security的过滤器链，不然@WithMockUser根本起不了作用。另外，@WithMockUser要放在具体的测试方法或者整个测试类上，举个完整的例子：

@SpringBootTest
@AutoConfigureMockMvc
public class HelloWorldControllerTest {

    @Autowired
    private MockMvc mockMvc;

    @Test
    @WithMockUser(username = "testuser", roles = "USER")
    public void testHelloWorldEndpoint() throws Exception {
        mockMvc.perform(get("/hello-world"))
                .andExpect(status().isOk())
                .andExpect(content().string(containsString("Hello Stranger!")));
    }
}

要是漏了@AutoConfigureMockMvc，MockMvc完全不知道Spring Security的存在，自然不会应用@WithMockUser的模拟用户。

2. 让测试目录的安全配置正确覆盖主配置 #

如果你在测试目录写了替代的安全配置，得确保它只在测试环境生效，而且优先级要比主配置高。最简单的方式是给测试配置类加上@TestConfiguration注解——这个注解的配置只会在当前测试类（或者被@Import的测试类）里生效，不会影响生产环境：

@TestConfiguration
public class TestSecurityConfig {

    @Bean
    public SecurityFilterChain testSecurityFilterChain(HttpSecurity http) throws Exception {
        http
                .authorizeHttpRequests(auth -> auth
                        .anyRequest().permitAll() // 测试环境直接放开所有请求，不用走认证
                )
                .csrf(csrf -> csrf.disable()); // 测试时关闭CSRF，避免额外的请求校验
        return http.build();
    }
}

然后在测试类里导入这个配置就行：

@SpringBootTest
@AutoConfigureMockMvc
@Import(TestSecurityConfig.class)
public class HelloWorldControllerTest {
    // ... 你的测试代码
}

要是主配置类用了@EnableWebSecurity，测试配置也要用同样的方式配置SecurityFilterChain，确保能覆盖主配置的逻辑。

3. 排查重定向问题的验证逻辑 #

有时候你以为@WithMockUser没生效，其实是测试代码的验证环节出了问题。比如没加注解时请求会被重定向到登录页（状态码3xx），加了注解后应该返回200。你可以先打印请求和响应的详情，看看实际发生了什么：

mockMvc.perform(get("/hello-world"))
        .andDo(print()) // 打印完整的请求、响应日志
        .andExpect(status().isOk());

通过日志你能清楚看到请求是否被认证、有没有被重定向，帮你快速定位问题。

4. 确保主安全配置不会干扰测试环境 #

检查下你的主Security配置类，有没有用@Profile或者条件注解，导致测试环境下还是加载了主配置。比如如果主配置类加了@Profile("!test")，那测试环境就不会加载它；如果没加，那测试配置必须明确覆盖主配置的SecurityFilterChain Bean。

5. 检查版本兼容性 #

如果你的Spring Security版本比较老（比如5.x之前），@WithMockUser的用法或者配置方式可能不一样。比如旧版本可能需要用@WebMvcTest结合@Import(SecurityConfig.class)，而现在Spring Boot 2.7+和Spring Security 5.7+都推荐用SecurityFilterChain的方式配置，所以要确保你的依赖版本是兼容的。

另外，如果你用的是@WebMvcTest而不是@SpringBootTest，要注意@WebMvcTest只会加载控制器相关的配置，不会自动加载Security配置，所以得手动导入Security配置或者测试配置：

@WebMvcTest(HelloWorldController.class)
@Import(TestSecurityConfig.class)
public class HelloWorldControllerTest {
    // ... 测试代码
}

内容的提问来源于stack exchange，提问作者creampiedonut