测试基于Spring Security的Spring MVC RESTful安全接口

我懂你现在的处境——接口方法里直接把UsernamePasswordAuthenticationToken作为参数，写集成测试时不知道怎么把这个对象传进去对吧？别慌，咱们来梳理清楚怎么解决这个问题。

首先得明确一个关键点：Spring Security的认证信息默认是通过SecurityContextHolder来传递的，你的接口写法相当于直接把上下文里的认证对象暴露成了方法参数，所以测试的核心就是让Spring MVC能正确把认证对象绑定到这个参数上。

下面给你两种可行的解决方式，优先推荐第一种，更符合Spring Security的设计规范：

方法一：用SecurityMockMvcRequestPostProcessors设置认证上下文 #

这是最标准的做法，借助Spring Security Test提供的工具类，把我们构造的UsernamePasswordAuthenticationToken放到请求的SecurityContext里，Spring MVC的参数解析器会自动把它绑定到接口的参数上。

示例代码 #

@SpringBootTest
@AutoConfigureMockMvc
public class YourControllerIntegrationTest {

    @Autowired
    private MockMvc mockMvc;

    @Test
    @Sql(scripts = "/sql/test-data-setup.sql") // 替换成你的测试数据脚本路径
    public void testGetSomeStuff_Success() throws Exception {
        // 1. 构造测试用的认证Token
        UsernamePasswordAuthenticationToken testAuthToken = 
            new UsernamePasswordAuthenticationToken(
                "test-username", 
                "test-password", 
                AuthorityUtils.createAuthorityList("ROLE_USER") // 根据你的权限需求调整
            );

        // 2. 执行请求，通过requestPostProcessor注入认证信息
        mockMvc.perform(get("/v1/getSomeStuff")
                .param("searchString", "sample-search-term")
                // 关键：用这个处理器把Token放到SecurityContext里
                .with(SecurityMockMvcRequestPostProcessors.authentication(testAuthToken)))
                // 3. 断言响应符合预期
                .andExpect(status().isOk())
                .andExpect(jsonPath("$.result").value("expected-result")); // 替换成你的Resp字段断言
    }
}

注意事项 #

• 确保你的测试依赖里引入了spring-security-test，不然SecurityMockMvcRequestPostProcessors这个类会找不到。
• 如果你不需要密码字段（因为认证后密码通常不会被用到），可以传null代替实际密码。

方法二：优化接口写法（更推荐的长期方案） #

其实你的接口直接用UsernamePasswordAuthenticationToken作为参数不是最优雅的写法，通常我们会用@AuthenticationPrincipal注解来获取当前认证的用户信息，这样代码更清晰，测试也更灵活。比如把接口改成这样：

@GetMapping(value= {"/v1/getSomeStuff"}) 
public SomeResp getSomeStuff(
    @AuthenticationPrincipal UserDetails currentUser, 
    @RequestParam(name="searchString", required=true) String request
) { 
    // 用currentUser获取用户名、权限等信息
    String username = currentUser.getUsername();
    // do some stuff in here 
}

这种写法下，测试代码和方法一几乎一样，还是用with(authentication(...))注入Token，Spring会自动把Token里的用户信息转换成UserDetails注入到参数里，代码可读性和可维护性都会更好。

内容的提问来源于stack exchange，提问作者SME