Spring Security认证失败响应测试方法

在Spring微服务中，处理认证失败的响应是保障系统安全性的关键环节。本文将介绍如何通过测试驱动的方式验证Spring Security认证失败时的响应处理。

核心问题

当用户尝试访问受保护资源但认证失败时，系统应该返回标准的HTTP状态码（如401 Unauthorized）和适当的响应体内容。我们需要确保这个流程能够被正确测试。

测试方案

@SpringBootTest
@AutoConfigureTestDatabase(replace = AutoConfigureTestDatabase.Replace.NONE)
class SecurityAuthenticationFailureTest {
    @Autowired
    private TestRestTemplate restTemplate;
    
    @Test
    void whenInvalidCredentialsProvided_thenReturns401() {
        // 组装测试数据
        var request = new HttpEntity<>(
            new UsernamePasswordAuthenticationToken("invalid", "wrong"),
            new HttpHeaders()
        );
        
        // 执行请求
        var response = restTemplate.postForEntity(
            "/api/protected",
            request,
            String.class
        );
        
        // 验证响应
        assertEquals(HttpStatus.UNAUTHORIZED, response.getStatusCode());
        assertTrue(response.getBody().contains("Authentication failed"));
    }
}

代码实现要点

在实际的Security配置中，需要确保自定义的AuthenticationEntryPoint正确处理认证失败：

@Bean
public AuthenticationEntryPoint authenticationEntryPoint() {
    return (request, response, authException) -> {
        response.setStatus(HttpStatus.UNAUTHORIZED.value());
        response.setContentType("application/json");
        response.getWriter().write(
            new ObjectMapper().writeValueAsString(
                Map.of("error", "Unauthorized", "message", authException.getMessage())
            )
        );
    };
}

测试覆盖率

本测试用例覆盖了：

• HTTP状态码验证（401）
• 响应内容格式验证
• 异常处理流程

通过TDD方式，我们确保了认证失败场景的健壮性，避免因安全配置错误导致的系统漏洞。