如何使用Spring Security@Secured注释测试Spring Boot@WebFluxTest

Question

我在测试由Spring Security的@secured注释保护的Spring WebFlux控制器时遇到问题。这是我的控制器代码：

@RestController
@RequestMapping("/endpoint")
public class MyController {

    @GetMapping()
    @Secured("ADMIN")
    public Flux<MyOutputDto> getOutputDtos() {
        return myService.getOutputDtos();
    }
}

下面是我的测试代码：

@WebFluxTest(MyController.class)
class MyControllerTest {

    @Autowired
    WebTestClient webTestClient;

    @Test
    @WithApplicationUser(roles = "ADMIN")
    void should_work_fine() {
        webTestClient.get()
                .uri("/endpoint")
                .exchange()
                .expectStatus().isOk();
    }

    @Test
    void should_return_401_unauthorized() {
        webTestClient.get()
                .uri("/endpoint")
                .exchange()
                .expectStatus().isUnauthorized();
    }

    @Test
    @WithApplicationUser
    void should_return_403_forbidden() {
        webTestClient.get()
                .uri("/endpoint")
                .exchange()
                .expectStatus().isForbidden();
    }
}

@WithApplicationUser注释是一个自定义注释，它在安全上下文中使用提供的角色注入模拟身份验证对象。如果没有提供任何角色（如在第三个测试中），则默认为完全没有角色。

这里的问题是前两个测试工作正常，但是第三个测试失败，返回200 OK而不是403禁止。我的第一个想法是Spring Security不处理@Secure注释，所以我遵循了许多Spring WebFlux/Spring Security留档和在线文章，但都不起作用。

有人对此有想法吗？提前谢谢

Answer 1

好吧，我知道发生了什么。

首先，@Secured注释似乎不是由Spring Security为被动应用程序（即Spring WebFlux）处理的。使用@enableeractivemethodsecurity时，必须使用@PreAuthorize注释。

然后，我必须创建一个测试配置并将其导入到我的测试中，它就像一个魔咒一样工作。

@TestConfiguration
@EnableReactiveMethodSecurity
public class WebFluxControllerSecurityTestConfig {
}

@WebFluxTest(MyController.class)
@Import(WebFluxControllerSecurityTestConfig.class)
class MyControllerTest {

  // Same tests

}