Question

我有以下用户资源，方法createUser受到ADMIN角色保护。

@RestController
@RequestMapping("/api")
public class UserResource {

    @PostMapping("/users")
    @Secured(AuthoritiesConstants.ADMIN)
    public ResponseEntity<User> createUser(@Valid @RequestBody UserDTO userDTO) throws URISyntaxException {
        log.debug("REST request to save User : {}", userDTO);
        // rest of code
    }
}

按照春季开机测试

@RunWith(SpringRunner.class)
@SpringBootTest(classes = MyappApp.class)
public class UserResourceIntTest {

    // other dependencies

    @Autowired
    FilterChainProxy springSecurityFilterChain;

    private MockMvc restUserMockMvc;

    private User user;

    @Before
    public void setup() {
        MockitoAnnotations.initMocks(this);
        UserResource userResource = new UserResource(userRepository, userService, mailService);
        this.restUserMockMvc = MockMvcBuilders.standaloneSetup(userResource)
            .setCustomArgumentResolvers(pageableArgumentResolver)
            .setControllerAdvice(exceptionTranslator)
            .setMessageConverters(jacksonMessageConverter)
            .apply(SecurityMockMvcConfigurers.springSecurity(springSecurityFilterChain))
            .build();
    }



@Test
@Transactional
@WithMockUser(username="user", password = "user", authorities = {"ROLE_USER"})
public void createUser() throws Exception {
    // Create the User
    ManagedUserVM managedUserVM = new ManagedUserVM();
    // set user properties

    restUserMockMvc.perform(post("/api/users")
        .contentType(TestUtil.APPLICATION_JSON_UTF8)
        .content(TestUtil.convertObjectToJsonBytes(managedUserVM)))
        .andExpect(status().isCreated());
    }
}

我希望测试失败，因为在模拟使用ADMIN角色时，api仅允许USER角色，但测试正在通过。任何帮助都将非常感激。

Answer 1

注意：我使用的JHipster版本是5.2.0。不能保证这将适用于所有版本。

如果正在使用服务（应使用），则可以注释服务方法。然后，在集成测试中使用@WithMockUser即可工作，而无需进行任何其他更改。这是一个例子。请注意，我也在使用服务接口（通过JDL中的“ serviceImpl”标志），但它也将在服务实现中起作用。

/**
* Service Interface for managing Profile.
*/
public interface ProfileService {

/**
 * Delete the "id" profile.
 *
 * @param id the id of the entity
 */
@Secured(AuthoritiesConstants.ADMIN)
void delete(Long id);

相应的rest控制器方法（由JHipster自动生成）：

/**
 * DELETE  /profiles/:id : delete the "id" profile.
 *
 * @param id the id of the profileDTO to delete
 * @return the ResponseEntity with status 200 (OK)
 */
@DeleteMapping("/profiles/{id}")
@Timed
public ResponseEntity<Void> deleteProfile(@PathVariable Long id) {
    log.debug("REST request to delete Profile : {}", id);
    profileService.delete(id);
    return ResponseEntity.ok().headers(HeaderUtil.createEntityDeletionAlert(ENTITY_NAME, id.toString())).build();
}

Answer 2

JHipster使用MockMvcBuilders.standaloneSetup来传递手动实例化的控制器（不是Spring的，因此不是AOP的）。因此，不会拦截PreAuthorize，并且跳过安全检查。因此，您可以@Autowire您的控制器并将其传递给MockMvcBuilders.standaloneSetup，这违背了使用独立设置的目的，也可以简单地使用WebApplicationContext：MockMvcBuilders.webAppContextSetup与并自动装配WepAppContext。

Answer 3

尝试删除@WithMockUser注释并更改下面的测试方法

ManagedUserVM managedUserVM = new ManagedUserVM();
    managedUserVM.setLogin(DEFAULT_LOGIN);
    managedUserVM.setPassword(DEFAULT_PASSWORD);
   managedUserVM.setAuthorities(Collections.singleton(AuthoritiesConstants.USER));

进行完整测试。你可以参考这个。

Test Class

测试期间的Spring MockMVC，Spring安全性和全局方法安全性

3 个答案: