为什么我在`@WebMvcTest`中得到空`Authentication`作为@Controller方法参数？

Question

上下文：我创建了一个测试注释@WithMockAuthentication 来使用Authentication 实例填充测试安全上下文，就像@WithMockUser 所做的那样。 主要区别在于，在我的例子中，实例是一个 Mockito 模拟。

我的经验：一旦我用模拟替换实际实例，作为控制器方法参数提供的 Authentication 实例在带注释的测试中为空：在 WithSecurityContextFactory 中，如果我替换：

    public Authentication workingAuthentication(WithMockAuthentication annotation) {
        return new TestAuthentication(annotation.name(), Stream.of(annotation.authorities()).map(SimpleGrantedAuthority::new).collect(Collectors.toSet()));
    }

与

    public Authentication bogousAuthentication(WithMockAuthentication annotation) {
        var auth = mock(Authentication.class);
        when(auth.getName()).thenReturn(annotation.name());
        when(auth.getAuthorities()).thenReturn((Collection) Stream.of(annotation.authorities()).map(SimpleGrantedAuthority::new).collect(Collectors.toSet()));
        when(auth.isAuthenticated()).thenReturn(true);
        return auth;
    }

然后我在控制器测试中得到 NPE

    @RequestMapping("/method")
    @PreAuthorize("hasRole('ROLE_AUTHORIZED')")
    public ResponseEntity<String> securedMethod(Authentication auth) {
        // Here, auth is null if Authentication is a mock
        return ResponseEntity.ok(String.format("Hey %s, how are you?", auth.getName()));
    }

我创建了一个minimal sample to reproduce。运行测试看看失败。

我很确定我遇到了一个错误。够创建an issue in spring-security project了，不过Spring团队好像没时间调查了……

[编辑] 最后这句话是无用的冒犯性和完全错误的，因为答案是由 Spring-security 的主要成员 Rob Winch 提供的：/我的坏

Answer 1

SampleController 的参数是 Authentication 类型，它是 Principal 的一个实例，因此 ServletRequestMethodArgumentResolver 将尝试解析来自 HttpServletRequest.getUserPrincipal() 的参数。

mock that you are creating 没有存根 Authentication.getPrincipal() 方法。

public Authentication bogousAuthentication(WithMockAuthentication annotation) {
    var auth = mock(Authentication.class);
    when(auth.getName()).thenReturn(annotation.name());
    when(auth.getAuthorities()).thenReturn((Collection) Stream.of(annotation.authorities()).map(SimpleGrantedAuthority::new).collect(Collectors.toSet()));
    when(auth.isAuthenticated()).thenReturn(true);
    return auth;
}

因此，Authentication.getPrincipal() 是 null，因此 SecurityContextHolderAwareRequestWrapper.getUserPrincipal() 返回 null。当主体为null 时，为什么它返回null？在成为团队成员之前，我无法确定 code was added 的初衷。但是，它在 Spring Security 的模型中是有意义的。 Authentication 可以代表经过身份验证的用户和用于身份验证的凭据。 Javadoc of Authentication.getPrincipal() 状态（强调我的）：

被认证的主体的身份。在一个 带有用户名和密码的身份验证请求，这将是 用户名。 调用者应填充主体 身份验证请求。

AuthenticationManager 实现通常会返回一个 身份验证包含更丰富的信息作为使用主体 由应用程序。许多身份验证提供程序将创建一个 UserDetails 对象作为主体。

null 检查是为了确保Authentication 确实代表经过身份验证的用户。

要修复它，您必须使用 when(auth.getPrincipal()).thenReturn("bogus"); 之类的东西将 getPrincipal() 方法存根。可以在下面和我的pull request 中看到更改。

public Authentication bogousAuthentication(WithMockAuthentication annotation) {
    var auth = mock(Authentication.class);
    when(auth.getPrincipal()).thenReturn("bogus");
    when(auth.getName()).thenReturn(annotation.name());
    when(auth.getAuthorities()).thenReturn((Collection) Stream.of(annotation.authorities()).map(SimpleGrantedAuthority::new).collect(Collectors.toSet()));
    when(auth.isAuthenticated()).thenReturn(true);
    return auth;
}