Seaching для ответа я не мог найти ни одного, чтобы быть легким и гибким в то же время, то я нашел Spring Security Reference и я понял, что есть почти идеальные решения. Решения AOP часто являются самыми большими для тестирования, и Spring предоставляет его с @WithMockUser,@WithUserDetails и @WithSecurityContext, в этот артефакт:

<dependency>
    <groupId>org.springframework.security</groupId>
    <artifactId>spring-security-test</artifactId>
    <version>4.2.2.RELEASE</version>
    <scope>test</scope>
</dependency>

в большинстве случаев, @WithUserDetails собирает гибкость и силу мне нужно.

Как @WithUserDetails работает?

в основном вам просто нужно создать пользовательский UserDetailsService со всеми возможными профилями пользователей, которые вы хотите проверить. Например

@TestConfiguration
public class SpringSecurityWebAuxTestConfig {

    @Bean
    @Primary
    public UserDetailsService userDetailsService() {
        User basicUser = new UserImpl("Basic User", "user@company.com", "password");
        UserActive basicActiveUser = new UserActive(basicUser, Arrays.asList(
                new SimpleGrantedAuthority("ROLE_USER"),
                new SimpleGrantedAuthority("PERM_FOO_READ")
        ));

        User managerUser = new UserImpl("Manager User", "manager@company.com", "password");
        UserActive managerActiveUser = new UserActive(managerUser, Arrays.asList(
                new SimpleGrantedAuthority("ROLE_MANAGER"),
                new SimpleGrantedAuthority("PERM_FOO_READ"),
                new SimpleGrantedAuthority("PERM_FOO_WRITE"),
                new SimpleGrantedAuthority("PERM_FOO_MANAGE")
        ));

        return new InMemoryUserDetailsManager(Arrays.asList(
                basicActiveUser, managerActiveUser
        ));
    }
}

теперь у нас есть наши пользователи готовы, так что представьте, что мы хотим проверить контроль доступа к этой функции контроллера:

@RestController
@RequestMapping("/foo")
public class FooController {

    @Secured("ROLE_MANAGER")
    @GetMapping("/salute")
    public String saluteYourManager(@AuthenticationPrincipal User activeUser)
    {
        return String.format("Hi %s. Foo salutes you!", activeUser.getUsername());
    }
}

здесь у нас есть получить сопоставленную функцию на маршрут / foo / salute и мы тестируем безопасность на основе ролей с помощью @Secured аннотация, хотя вы можете проверить @PreAuthorize и @PostAuthorize как хорошо. Давайте создадим два теста, один, чтобы проверить, может ли действительный пользователь увидеть этот ответ салюта, а другой, чтобы проверить, действительно ли это запрещено.

@RunWith(SpringRunner.class)
@SpringBootTest(
        webEnvironment = SpringBootTest.WebEnvironment.RANDOM_PORT,
        classes = SpringSecurityWebAuxTestConfig.class
)
@AutoConfigureMockMvc
public class WebApplicationSecurityTest {

    @Autowired
    private MockMvc mockMvc;

    @Test
    @WithUserDetails("manager@company.com")
    public void givenManagerUser_whenGetFooSalute_thenOk() throws Exception
    {
        mockMvc.perform(MockMvcRequestBuilders.get("/foo/salute")
                .accept(MediaType.ALL))
                .andExpect(status().isOk())
                .andExpect(content().string(containsString("manager@company.com")));
    }

    @Test
    @WithUserDetails("user@company.com")
    public void givenBasicUser_whenGetFooSalute_thenForbidden() throws Exception
    {
        mockMvc.perform(MockMvcRequestBuilders.get("/foo/salute")
                .accept(MediaType.ALL))
                .andExpect(status().isForbidden());
    }
}

как вы видите, мы импортировали SpringSecurityWebAuxTestConfig для обеспечения наших пользователей для тестирования. Каждый из них используется в своем соответствующем тестовом случае только с помощью простой аннотации, уменьшая код и сложность.

лучше использовать @WithMockUser для более простой безопасности на основе ролей

Как видите,@WithUserDetails обладает всей гибкостью, необходимой для большинства ваших приложений. Это позволяет использовать пользовательских пользователей с любым GrantedAuthority, как роли или разрешения. Но если вы просто работаете с ролями, тестирование может быть еще проще, и вы можете избежать создания пользовательского UserDetailsService. В таких случаях укажите простое сочетание пользователя, пароля и ролей с @WithMockUser.

@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@Inherited
@Documented
@WithSecurityContext(
    factory = WithMockUserSecurityContextFactory.class
)
public @interface WithMockUser {
    String value() default "user";

    String username() default "";

    String[] roles() default {"USER"};

    String password() default "password";
}

аннотация определяет значения по умолчанию для базового пользователя. Как и в нашем случае маршрут мы тестируем просто требует, чтобы аутентифицированный пользователь был менеджером, мы можем прекратить использование SpringSecurityWebAuxTestConfig и этого.

@Test
@WithMockUser(roles = "MANAGER")
public void givenManagerUser_whenGetFooSalute_thenOk() throws Exception
{
    mockMvc.perform(MockMvcRequestBuilders.get("/foo/salute")
            .accept(MediaType.ALL))
            .andExpect(status().isOk())
            .andExpect(content().string(containsString("user")));
}

обратите внимание, что теперь вместо пользователя manager@company.com мы получаем значение по умолчанию, предоставленное @WithMockUser:пользователей, но это не важно, потому что то, что мы действительно заботимся о его роли: ROLE_MANAGER.

выводы

как вы видите с аннотациями, как @WithUserDetails и @WithMockUser у нас можете переключатель между различными сценариями аутентифицированных пользователей без создания классов, отчужденных от нашей архитектуры только для проведения простых тестов. Его также рекомендуется посмотреть, как @WithSecurityContext работы для еще большей гибкости.

добавить в pom.XML-код:

    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-test</artifactId>
        <version>4.0.0.RC2</version>
    </dependency>

и использовать org.springframework.security.test.web.servlet.request.SecurityMockMvcRequestPostProcessors запрос авторизации. См. пример использования в https://github.com/rwinch/spring-security-test-blog (https://jira.spring.io/browse/SEC-2592).

обновление:

4.0.0.RC2 работает для весны-безопасности 3.икс. Для весны-обеспеченность 4 весна-обеспеченность-испытание будет частью весны-обеспеченности (http://docs.spring.io/spring-security/site/docs/4.0.x/reference/htmlsingle/#test, версия та же).

настройка изменена: http://docs.spring.io/spring-security/site/docs/4.0.x/reference/htmlsingle/#test-mockmvc

public void setup() {
    mvc = MockMvcBuilders
            .webAppContextSetup(context)
            .apply(springSecurity())  
            .build();
}

пример для базовой аутентификации: http://docs.spring.io/spring-security/site/docs/4.0.x/reference/htmlsingle/#testing-http-basic-authentication.

начиная с весны 4.0+, лучшим решением является аннотирование метода тестирования с помощью @WithMockUser

@Test
@WithMockUser(username = "user1", password = "pwd", roles = "USER")
public void mytest1() throws Exception {
    mockMvc.perform(get("/someApi"))
        .andExpect(status().isOk());
}

Не забудьте добавить в свой проект следующую зависимость

'org.springframework.security:spring-security-test:4.2.3.RELEASE'

вот пример для тех, кто хочет протестировать Spring MockMvc Security Config с помощью базовой аутентификации Base64.

String basicDigestHeaderValue = "Basic " + new String(Base64.encodeBase64(("<username>:<password>").getBytes()));
this.mockMvc.perform(get("</get/url>").header("Authorization", basicDigestHeaderValue).accept(MediaType.APPLICATION_JSON)).andExpect(status().isOk());

Зависимостей Maven

    <dependency>
        <groupId>commons-codec</groupId>
        <artifactId>commons-codec</artifactId>
        <version>1.3</version>
    </dependency>

короткий ответ:

@Autowired
private WebApplicationContext webApplicationContext;

@Autowired
private Filter springSecurityFilterChain;

@Before
public void setUp() throws Exception {
    final MockHttpServletRequestBuilder defaultRequestBuilder = get("/dummy-path");
    this.mockMvc = MockMvcBuilders.webAppContextSetup(this.webApplicationContext)
            .defaultRequest(defaultRequestBuilder)
            .alwaysDo(result -> setSessionBackOnRequestBuilder(defaultRequestBuilder, result.getRequest()))
            .apply(springSecurity(springSecurityFilterChain))
            .build();
}

private MockHttpServletRequest setSessionBackOnRequestBuilder(final MockHttpServletRequestBuilder requestBuilder,
                                                             final MockHttpServletRequest request) {
    requestBuilder.session((MockHttpSession) request.getSession());
    return request;
}

после выполнения formLogin из spring security test каждый из ваших запросов будет автоматически вызываться как зарегистрированный пользователь.

ответ:

проверьте это решение (ответ для весны 4):как войти в систему пользователя с spring 3.2 new MVC testing

параметры, чтобы избежать использования SecurityContextHolder в тестах:

• 1: используйте насмешки-я имею в виду издеваться SecurityContextHolder используя некоторые макет библиотеки -EasyMock
• 2: обернуть вызов SecurityContextHolder.get... в вашем коде в какой - то Службе-например в SecurityServiceImpl методом getCurrentPrincipal что реализует SecurityService интерфейс, а затем в ваших тестах вы можете просто создать макет реализации этого интерфейса, который возвращает желаемый Принципал без доступа к SecurityContextHolder.