如何在Spring Boot测试中仅启用Security Context？

嗨，我完全懂你遇到的这个痛点——纯Mockito单元测试时，@PreAuthorize注解直接被忽略，换成@SpringBootTest做集成测试虽然能生效，但又太重了。其实咱们只需要给单元测试加上Spring Security的方法安全支持，不用加载整个应用上下文就能搞定！

问题根源 #

纯Mockito单元测试（比如只用@ExtendWith(MockitoExtension.class)）不会加载Spring Security的方法级安全拦截器，所以标记了@PreAuthorize的方法根本不会触发权限校验，注解自然就“无效”了。

解决方案：轻量单元测试启用方法安全 #

我们可以用Spring Test扩展加载最小的上下文，同时启用方法安全，再结合@MockBean模拟依赖，这样既能保持单元测试的轻量，又能让@PreAuthorize生效。

步骤1：创建测试安全配置（可选，也可直接加在测试类上）

针对Spring Security 5.6+版本，用@EnableMethodSecurity启用方法安全：

@Configuration
@EnableMethodSecurity
public class TestSecurityConfig {
    // 这里不需要复杂配置，@WithMockUser等注解会帮我们模拟安全上下文
}

如果是低于5.6的旧版本，替换成@EnableGlobalMethodSecurity(prePostEnabled = true)。

步骤2：编写单元测试类

用@SpringJUnitConfig（或@ExtendWith(SpringExtension.class) + @ContextConfiguration）加载配置，用@MockBean模拟仓库依赖，再用@WithMockUser模拟登录用户：

@SpringJUnitConfig(classes = TestSecurityConfig.class)
public class MyServiceTest {
    // 用@MockBean模拟仓库，Spring会自动把这个模拟实例注入到MyService中
    @MockBean
    private MyRepository myRepository;

    // 让Spring注入配置好的MyService实例（带方法安全拦截）
    @Autowired
    private MyService myService;

    @Test
    @WithMockUser(roles = "ADMIN")
    public void adminOnlyMethod_WithAdminUser_ShouldRunSuccessfully() {
        // 执行带权限校验的方法
        myService.adminOnlyMethod();
        
        // 验证仓库方法被正确调用
        verify(myRepository).doSomething();
    }

    @Test
    @WithMockUser(roles = "USER")
    public void adminOnlyMethod_WithRegularUser_ShouldThrowAccessDenied() {
        // 预期抛出权限拒绝异常
        assertThrows(AccessDeniedException.class, () -> myService.adminOnlyMethod());
    }
}

简化写法：直接在测试类加注解

如果你不想单独写配置类，也可以把@EnableMethodSecurity直接加在测试类上：

@SpringJUnitConfig
@EnableMethodSecurity
public class MyServiceTest {
    // 测试代码同上
}

为什么这个方案好用？ #

• 相比@SpringBootTest，它只加载了必要的安全配置和服务bean，测试启动更快，更符合单元测试的定位；
• @MockBean帮我们模拟了仓库依赖，不用操心真实的数据库操作；
• @WithMockUser（或@WithSecurityContext）依然能正常模拟安全上下文，配合方法安全拦截，@PreAuthorize的校验逻辑完全生效。

内容的提问来源于stack exchange，提问作者rinatcormier