Spring JUnit测试中不同Auth模拟方案的配置问题求助

嘿，我之前在做Spring Security + JUnit4的测试时，也碰到过这种权限不足的问题，特别是涉及到SpEL权限校验和多角色场景的情况。给你几个我亲测有效的解决方案，应该能帮你搞定：

这个注解是Spring Security测试里的神器，能直接关联你的自定义UserDetailsService，指定用户名就能自动加载对应权限的用户，完美适配不同方法需要不同角色的场景。

举个实际代码例子：

@RunWith(SpringJUnit4ClassRunner.class)
@ContextConfiguration(classes = {TestAppConfig.class, SecurityConfig.class})
public class FareServiceTest {

    @Autowired
    private FareService fareService;

    // 测试需要ADMIN角色的createStandardFare()
    @Test
    @WithUserDetails(value = "sys_admin", userDetailsServiceBeanName = "customUserDetailsService")
    public void testCreateStandardFare_AdminAccess() {
        fareService.createStandardFare(new FareDTO());
        // 断言逻辑...
    }

    // 测试需要OPERATOR角色的createDailyCode()
    @Test
    @WithUserDetails(value = "daily_operator", userDetailsServiceBeanName = "customUserDetailsService")
    public void testCreateDailyCode_OperatorAccess() {
        fareService.createDailyCode("20240520");
        // 断言逻辑...
    }
}

这里的userDetailsServiceBeanName要填你自定义的UserDetailsService的bean名称，Spring会自动帮你完成认证流程，不用手动折腾SecurityContext。

如果需要临时组合权限（比如某个测试需要同时拥有ADMIN和OPERATOR角色），可以手动构建Authentication对象存入SecurityContext，完全自定义权限集合。

代码示例：

@Test
public void testCrossRoleOperation() {
    // 构建需要的权限列表
    Collection<GrantedAuthority> roles = AuthorityUtils.createAuthorityList("ROLE_ADMIN", "ROLE_OPERATOR");
    // 创建UserDetails（用你自己的自定义实现也可以）
    UserDetails testUser = new User("cross_role_user", "dummy_pass", roles);
    // 生成Authentication对象
    Authentication auth = new UsernamePasswordAuthenticationToken(testUser, null, roles);
    // 存入SecurityContext
    SecurityContextHolder.getContext().setAuthentication(auth);

    // 现在两个需要权限的方法都能正常调用了
    fareService.createStandardFare(new FareDTO());
    fareService.createDailyCode("20240520");

    // 划重点：测试结束后一定要清理SecurityContext，避免污染其他测试
    SecurityContextHolder.clearContext();
}

强烈建议在@After方法里统一做清理，避免遗漏：

@After
public void cleanUpSecurityContext() {
    SecurityContextHolder.clearContext();
}

如果你的权限校验用了SpEL表达式（比如@PreAuthorize("hasPermission(#fare, 'MODIFY')")），要确保测试上下文正确加载了方法级安全配置和自定义的权限处理器。

比如在测试配置类里加上：

@Configuration
@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true) // 开启方法级安全
public class TestSecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private CustomUserDetailsService customUserDetailsService;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(customUserDetailsService);
    }

    // 如果有自定义PermissionEvaluator，一定要注册到表达式处理器里
    @Bean
    public MethodSecurityExpressionHandler customMethodSecurityHandler() {
        DefaultMethodSecurityExpressionHandler handler = new DefaultMethodSecurityExpressionHandler();
        handler.setPermissionEvaluator(new CustomPermissionEvaluator());
        return handler;
    }
}

这样SpEL表达式才能被正确解析，权限校验逻辑才会在测试中生效。

• 确保测试类加载的上下文包含了Spring Security的配置，不然权限校验等于摆设；
• 如果测试用了@Transactional，要注意SecurityContext的清理时机，最好在事务提交前清理；
• 自定义UserDetailsService返回的角色名称要符合Spring Security规范：默认需要带ROLE_前缀，除非你在配置里改了rolePrefix。

内容的提问来源于stack exchange，提问作者drenda