在Spring Boot中禁用@WebMvcTest的Spring Security配置类

Question

最近我使用以下类将Spring Security添加到Spring Boot项目中:

@EnableWebSecurity
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class MySecurityConfig {
}

因此,默认情况下,我的所有URL现在都受到身份验证和自生密码的保护.

问题是我用于对控制器进行单元测试的@WebMvcTest类中的所有测试:

@RunWith(SpringRunner.class)
@WebMvcTest(SomeController.class)
public class SomeControllerTest {...}

由于缺乏授权,现在到处都失败了.

问题:我可以告诉@Test方法忽略授权,以便它们像以前一样继续成功吗？

如何防止在 特定的@WebMvcTest单元测试类中选择@EnableWebSecurity配置类？

我希望已经存在的测试能够继续进行并稍后单独测试身份验证功能.

到目前为止,我已尝试在测试类中使用嵌套的配置类,以排除安全配置:

@RunWith(SpringRunner.class)
@WebMvcTest(SomeController.class)
public class SomeControllerTest {

    @Configuration
    @EnableAutoConfiguration(exclude = { SecurityAutoConfiguration.class})
    static class ContextConfiguration { }

 ....}

但似乎没有用.

注意:我使用的是Spring Boot 1.5.8

Answer 1

对我来说，在 Spring Boot 2.2.4 (JUnit5) 中，以下似乎已经工作并绕过了安全过滤器。

@ExtendWith(SpringExtension.class)
@WebMvcTest(SomeController.class)
@AutoConfigureMockMvc(addFilters = false)
public class SomeControllerTest {
...

注意：这只是禁用 SpringSecurity 配置中的任何过滤器。它不会完全禁用安全性。换句话说，它仍然会在不加载任何过滤器的情况下引导安全性。

Answer 2

您可以在@WebMvcTest annoation中设置secure = false.它将在您的测试中跳过Spring安全性MockMvc自动配置

@WebMvcTest(controllers = SomeController.class, secure = false)
public class SomeControllerTest {

Answer 3

在 Spring Boot 2.2.6 中，@WebMvcTest 使用 @AutoConfigureWebMvc 进行元注释，它自动配置 org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration，如您在 spring-boot-test-autoconfigure.jar 的 spring.factories 中所见

因此，您只需在测试中排除 SecurityAutoConfiguration 即可禁用 Spring Security ：

@WebMvcTest(excludeAutoConfiguration = SecurityAutoConfiguration.class) 

Answer 4

这对我有用，使用 spring boot 2.3.1。

@ExtendWith(SpringExtension.class)
@WebMvcTest(SomeController.class)
@AutoConfigureMockMvc(addFilters = false)
public class SomeControllerTest {
}

Answer 5

使用Spring Security 4+，我发现@WithMockUser注释非常方便。它提供了一个模拟用户和密码来测试以@PreAuthorize或@PostAuthorize注释的spring安全方法。您需要做的只是用注释测试方法@WithMockUser。用户的默认角色是USER。您也可以覆盖默认的用户名和角色。

//default
@Test
@WithMockUser
public void getProfile() {
   //your test here
} 

//with username and roles
@Test
@WithMockUser(username = "john", roles={"ADMIN"})
public void getProfile() {
   //your test here
} 

注意：此注释可用于类。

@WithMockUser(username = "john", roles={"ADMIN"})
public class UsersAdminSecurityTest {
} 

Answer 6

在 Spring Boot 2.4 中，两个secure标志都被删除了，这里的答案都没有实际工作。

我最终自己排除了所有安全性并将其包装在自定义注释中。

import org.springframework.boot.autoconfigure.security.oauth2.client.servlet.OAuth2ClientAutoConfiguration;
import org.springframework.boot.autoconfigure.security.oauth2.resource.servlet.OAuth2ResourceServerAutoConfiguration;
import org.springframework.boot.autoconfigure.security.servlet.SecurityAutoConfiguration;
import org.springframework.boot.autoconfigure.security.servlet.SecurityFilterAutoConfiguration;
import org.springframework.boot.test.autoconfigure.web.servlet.WebMvcTest;
import org.springframework.context.annotation.ComponentScan;
import org.springframework.context.annotation.FilterType;
import org.springframework.core.annotation.AliasFor;
import org.springframework.security.config.annotation.web.WebSecurityConfigurer;

import java.lang.annotation.*;

@Target({ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@WebMvcTest(excludeFilters = {@ComponentScan.Filter(type = FilterType.ASSIGNABLE_TYPE, value = WebSecurityConfigurer.class)},
            excludeAutoConfiguration = {SecurityAutoConfiguration.class,
                                        SecurityFilterAutoConfiguration.class,
                                        OAuth2ClientAutoConfiguration.class,
                                        OAuth2ResourceServerAutoConfiguration.class})
public @interface UnsecuredWebMvcTest {
    @AliasFor(annotation = WebMvcTest.class, attribute = "controllers")
    Class<?>[] value() default {};

    @AliasFor(annotation = WebMvcTest.class, attribute = "controllers")
    Class<?>[] controllers() default {};
}