当前位置：首页 > news >正文

Spring Boot 3 JWT Security测试指南：如何编写完整的认证授权测试用例

news 2026/5/4 21:03:12

Spring Boot 3 JWT Security测试指南：如何编写完整的认证授权测试用例

【免费下载链接】spring-boot-3-jwt-securitySample project on how to implement JWT security based using Spring boot 3 and Spring security 6项目地址: https://gitcode.com/gh_mirrors/sp/spring-boot-3-jwt-security

Spring Boot 3 JWT Security是一个基于Spring Boot 3和Spring Security 6实现JWT安全认证的示例项目。本文将详细介绍如何为该项目编写完整的认证授权测试用例，帮助开发者确保系统安全功能的可靠性。

为什么需要测试JWT认证授权？

在现代Web应用中，认证授权是保护系统安全的核心环节。JWT（JSON Web Token）作为一种流行的认证机制，其实现的正确性直接关系到系统的安全性。通过编写全面的测试用例，我们可以：

验证用户登录、注册功能的正确性
确保不同角色的权限控制有效
检查JWT令牌的生成、验证和刷新机制
防止未授权访问和权限越界等安全问题

测试环境准备

要开始测试，首先需要准备好测试环境。确保你的开发环境中已经安装了以下工具：

JDK 17或更高版本
Maven 3.6+
Spring Boot 3.0+

项目结构

在开始编写测试用例之前，让我们先了解一下项目的测试相关结构：

src/ test/ java/ com/ alibou/ security/ SecurityApplicationTests.java

目前项目中只有一个基础的测试类SecurityApplicationTests.java，我们将以此为基础扩展测试用例。

基础测试类解析

让我们先看看项目中已有的基础测试类：

package com.alibou.security; import org.junit.jupiter.api.Test; import org.springframework.boot.test.context.SpringBootTest; @SpringBootTest class SecurityApplicationTests { @Test void contextLoads() { } }

这个测试类使用了@SpringBootTest注解，它会加载完整的Spring应用上下文，用于测试整个应用的集成情况。contextLoads()方法是一个简单的测试，用于验证Spring应用上下文是否能够正常加载。

编写认证功能测试用例

认证功能是JWT安全系统的基础，我们需要测试用户注册、登录和令牌生成等功能。

创建认证测试类

首先，创建一个新的测试类AuthenticationControllerTest，用于测试认证相关的功能：

package com.alibou.security.auth; import org.junit.jupiter.api.Test; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.test.autoconfigure.web.servlet.WebMvcTest; import org.springframework.test.web.servlet.MockMvc; @WebMvcTest(AuthenticationController.class) class AuthenticationControllerTest { @Autowired private MockMvc mockMvc; // 测试方法将在这里编写 }

@WebMvcTest注解用于测试Spring MVC控制器，它只会加载与Web层相关的Bean，而不是整个应用上下文，这样可以使测试更快速、更专注。

测试用户注册功能

添加测试方法来验证用户注册功能：

@Test void shouldRegisterUser() throws Exception { mockMvc.perform(post("/api/v1/auth/register") .contentType(MediaType.APPLICATION_JSON) .content("{\"firstname\":\"John\",\"lastname\":\"Doe\",\"email\":\"john.doe@example.com\",\"password\":\"password123\",\"role\":\"USER\"}")) .andExpect(status().isOk()) .andExpect(jsonPath("$.token").exists()) .andExpect(jsonPath("$.refreshToken").exists()); }

这个测试用例发送一个POST请求到注册接口，验证返回状态码是否为200 OK，并检查响应中是否包含token和refreshToken字段。

测试用户登录功能

类似地，添加测试用户登录的方法：

@Test void shouldAuthenticateUser() throws Exception { mockMvc.perform(post("/api/v1/auth/authenticate") .contentType(MediaType.APPLICATION_JSON) .content("{\"email\":\"john.doe@example.com\",\"password\":\"password123\"}")) .andExpect(status().isOk()) .andExpect(jsonPath("$.token").exists()) .andExpect(jsonPath("$.refreshToken").exists()); }

编写授权功能测试用例

授权测试确保不同角色的用户只能访问其权限范围内的资源。

创建授权测试类

创建DemoControllerTest类来测试授权功能：

package com.alibou.security.demo; import org.junit.jupiter.api.Test; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.test.autoconfigure.web.servlet.WebMvcTest; import org.springframework.security.test.context.support.WithMockUser; import org.springframework.test.web.servlet.MockMvc; @WebMvcTest(DemoController.class) class DemoControllerTest { @Autowired private MockMvc mockMvc; // 测试方法将在这里编写 }

测试公开接口访问

测试未认证用户是否可以访问公开接口：

@Test void shouldAllowAccessToPublicEndpoint() throws Exception { mockMvc.perform(get("/api/v1/demo/public")) .andExpect(status().isOk()) .andExpect(content().string("Public content")); }

测试认证用户接口访问

使用@WithMockUser注解模拟认证用户：

@Test @WithMockUser void shouldAllowAccessToUserEndpoint() throws Exception { mockMvc.perform(get("/api/v1/demo/user")) .andExpect(status().isOk()) .andExpect(content().string("User content")); }

测试管理员接口访问

测试只有管理员角色才能访问管理员接口：

@Test @WithMockUser(roles = "ADMIN") void shouldAllowAccessToAdminEndpoint() throws Exception { mockMvc.perform(get("/api/v1/demo/admin")) .andExpect(status().isOk()) .andExpect(content().string("Admin content")); } @Test @WithMockUser(roles = "USER") void shouldDenyAccessToAdminEndpointForRegularUser() throws Exception { mockMvc.perform(get("/api/v1/demo/admin")) .andExpect(status().isForbidden()); }

集成测试JWT功能

除了单元测试，我们还需要进行集成测试，验证JWT令牌的完整生命周期。

创建JWT集成测试类

package com.alibou.security; import org.junit.jupiter.api.Test; import org.springframework.beans.factory.annotation.Autowired; import org.springframework.boot.test.context.SpringBootTest; import org.springframework.boot.test.web.client.TestRestTemplate; import org.springframework.http.ResponseEntity; @SpringBootTest(webEnvironment = SpringBootTest.WebEnvironment.RANDOM_PORT) class JwtIntegrationTest { @Autowired private TestRestTemplate restTemplate; // 测试方法将在这里编写 }

测试JWT令牌的生成和使用

@Test void shouldGenerateAndUseJwtToken() { // 注册用户 RegisterRequest registerRequest = new RegisterRequest("Jane", "Smith", "jane.smith@example.com", "password123", "USER"); ResponseEntity<AuthenticationResponse> registerResponse = restTemplate.postForEntity("/api/v1/auth/register", registerRequest, AuthenticationResponse.class); // 验证注册成功并获取令牌 assertThat(registerResponse.getStatusCode()).isEqualTo(HttpStatus.OK); String token = registerResponse.getBody().getToken(); assertThat(token).isNotBlank(); // 使用令牌访问受保护资源 ResponseEntity<String> userResponse = restTemplate.exchange( "/api/v1/demo/user", HttpMethod.GET, new HttpEntity<>(createHeaders(token)), String.class ); assertThat(userResponse.getStatusCode()).isEqualTo(HttpStatus.OK); assertThat(userResponse.getBody()).isEqualTo("User content"); } private HttpHeaders createHeaders(String token) { HttpHeaders headers = new HttpHeaders(); headers.set("Authorization", "Bearer " + token); return headers; }