在使用JUnit测试Spring Security性时，如何删除“ROLE\”前缀？

Question

一些背景：我们有一个联调类，用于测试与Spring授权一起使用的常量SPEL字符串。简单的例子：

@SpringBootTest
@RunWith(SpringRunner.class)
public class HasRoleConstantsTest {
    @Test
    @WithMockUser(username = "uname", roles = "ADMIN")
    public void test() {
        // just calling some test method with appropriate annotation
    }
}

前面提到的常量的用法如下：

@PreAuthorize(PREDEFINED_AUTHORIZATION_RULE)

其中常量可以是一些更复杂的检查，如：

public static final String PREDEFINED_AUTHORIZATION_RULE =
    "hasRole('ADMIN') OR (hasRole('MAINTAINER') AND hasRole('#id'))"

我们已经按照此处的建议配置了Web安全配置，因此添加了类似bean的：

@Bean
GrantedAuthorityDefaults grantedAuthorityDefaults() {
    return new GrantedAuthorityDefaults(""); // Remove the ROLE_ prefix
}

除了文章顶部显示的测试失败之外，一切都很顺利，因为在测试环境中，Spring security仍然会为每个模拟用户角色添加前缀ROLE\u1。

有没有人能解释一下应该如何配置测试类，或者-例如-应该如何操作SecurityContext来在测试中去掉这个前缀？

Answer 1

这对我来说很好：

配置：

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class GlobalMethodSecurityConfig extends GlobalMethodSecurityConfiguration {
    private final ApplicationContext context;

    @Autowired
    public GlobalMethodSecurityConfig(ApplicationContext context) {
        this.context = context;
    }

    @Override
    protected MethodSecurityExpressionHandler createExpressionHandler() {
        DefaultMethodSecurityExpressionHandler handler = 
            new DefaultMethodSecurityExpressionHandler();

        handler.setDefaultRolePrefix("");
        handler.setApplicationContext(context);
        return handler;
    }
}

测验：

@Test
@WithMockUser(roles = "USER")
void getCard() {
    ...
}

如果这没有帮助，您能否在GitHub上显示一个工作代码示例？（这可能有助于发现问题）

Answer 2

很简单，打开这个注释的javadoc并使用权限而不是角色