编写用例以验证OAuth令牌的方法

编写单元或集成测试用例来验证启用 OAuth 的后端服务需要考虑验证令牌的有效性。对于启用 OAuth 的 GoLang 后端服务，可以使用中间件函数来验证 Authorization 标头中的 OAuth 令牌。此函数应检查令牌格式、验证令牌并检查令牌过期时间。使用测试框架（如 httptest）创建模拟 HTTP 请求并设置 Authorization 标头，可以测试此中间件函数在各种场景下的行为，包括没有令牌、格式错误的令牌、过期的令牌和有效的令牌。

我们有一个接受 http 请求的 GoLang 后端服务（启用 OAuth），其 Authorization 标头的值为 "Bearer" + OAuthTokenString。

如何为后端服务编写单元或集成测试用例以验证后端服务是否启用了 OAuth（验证令牌）？我不确定，我们无法创建启用 OAuth 的模拟服务（httptest.NewServer）....

正确答案

这是一个非常有趣的问题。我可以看到您的团队关心的是通过测试代码来最大限度地减少可能的错误。这是许多开发人员经常忘记的一个方面。

在没有看过您的代码的情况下，很难为您的案例提出 100% 正确的答案。

我假设我的示例将作为编写您自己的测试的指南，或者在最好的情况下优化我建议的示例

我使用 gin gonic 作为我的项目的 http web 框架，并编写了一个方法 authenticate，该方法被称为每个受保护端点的中间件。然后为了测试我只通过 gin.default () 方法创建了一个http服务器

// authenticate auth an endpoint
func authenticate() gin.handlerfunc {
  return func(c *gin.context) {
    var someerr errors.bukyerror
    someerr.setunauthorized()

    // fetch token from the headers
    requiredtoken := c.getheader(constants.authorizationheader)
    if len(requiredtoken) == 0 {
        c.abortwithstatusjson(someerr.httperrorcode, someerr.json())
        return
    }

    splittedtoken := strings.splitn(requiredtoken, " ", 2)
    if len(splittedtoken) != 2 || strings.tolower(splittedtoken[0]) != "bearer" {
        primerr := fmt.errorf("wrong bearer token format on authorization header")
        someerr.primitiveerr = &primerr
        c.abortwithstatusjson(someerr.httperrorcode, someerr.json())
        return
    }

    // get email from encoded token
    jwttoken, claims, err := helpers.decodejwt(splittedtoken[1], false)
    if err != nil {
        someerr.primitiveerr = &err
        c.abortwithstatusjson(someerr.httperrorcode, someerr.json())
        return
    }

    if _, err := helpers.verifyobjectids(claims.subject); !err.isnilerror() {
        c.abortwithstatusjson(someerr.httperrorcode, someerr.json())
        return
    }

    // set the user variable so that we can easily retrieve from other middlewares
    // c.set("user", result)
    c.set(constants.reqbukyjwtkey, jwttoken)
    c.set(constants.reqbukyclaimskey, claims)

    // call the next middlware
    c.next()
  }
}

然后我就像下面这样进行测试

func TestAuthenticate(t *testing.T) {
  userID := primitive.NewObjectID().Hex()
  email := "<a target='_blank'  href='https://www.17golang.com/gourl/?redirect=MDAwMDAwMDAwML57hpSHp6VpkrqbYLx2eayza4KafaOkbLS3zqSBrJvPsa5_0Ia6sWuR4Juaq6t9nq6ycZqKgG2svpXKqIBkrtu-i2LMmbrbrZuueqbGeYaeyYCkppKihqKu3LOijnmMlbN4cpSSt89pkqp5qLBkep6yo6Nkf42hpLLdyqKBrIXRsot-lpHdz3Y' rel='nofollow'>[email protected]</a>"
  firstName := "My Name"
  lastName := "My Lastname"
  scopes := []string{"im_scope"}

  statusOK := "statusOK"
  someProtectedPath := constants.UsersPath + "/" + userID

  engine := gin.Default()
  engine.GET(someProtectedPath, Authenticate(), func(c *gin.Context) {
      c.String(http.StatusOK, statusOK)
  })

  t.Run("NoTokenHeader", func(t *testing.T) {
    t.Run("UnsetHeader", func(t *testing.T) {
        w := httptest.NewRecorder()
        req, _ := http.NewRequest("GET", someProtectedPath, nil)
        engine.ServeHTTP(w, req)
        assert.Equal(t, http.StatusUnauthorized, w.Code)
    })

    t.Run("EmptyHeader", func(t *testing.T) {
        w := httptest.NewRecorder()
        req, _ := http.NewRequest("GET", someProtectedPath, nil)
        req.Header.Set(constants.AuthorizationHeader, "")
        engine.ServeHTTP(w, req)
        assert.Equal(t, http.StatusUnauthorized, w.Code)
    })
  })

  t.Run("TokenWithBadFormat", func(t *testing.T) {
    t.Run("1", func(t *testing.T) {
        w := httptest.NewRecorder()
        req, _ := http.NewRequest("GET", someProtectedPath, nil)
        badFormatedToken := "hola.hola"
        req.Header.Set(constants.AuthorizationHeader, fmt.Sprintf("Bearer %s", badFormatedToken))
        engine.ServeHTTP(w, req)
        assert.Equal(t, http.StatusUnauthorized, w.Code)
    })

    t.Run("2", func(t *testing.T) {
        w := httptest.NewRecorder()
        req, _ := http.NewRequest("GET", someProtectedPath, nil)
        badFormatedToken := "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ."
        req.Header.Set(constants.AuthorizationHeader, fmt.Sprintf("Bearer %s", badFormatedToken))
        engine.ServeHTTP(w, req)
        assert.Equal(t, http.StatusUnauthorized, w.Code)
    })

    t.Run("3", func(t *testing.T) {
        w := httptest.NewRecorder()
        req, _ := http.NewRequest("GET", someProtectedPath, nil)
        badFormatedToken := "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJzdWIiOiIxMjM0NTY3ODkwIiwibmFtZSI6IkpvaG4gRG9lIiwiaWF0IjoxNTE2MjM5MDIyfQ.hola.hola.hola"
        req.Header.Set(constants.AuthorizationHeader, fmt.Sprintf("Bearere %s", badFormatedToken))
        engine.ServeHTTP(w, req)
        assert.Equal(t, http.StatusUnauthorized, w.Code)
    })
  })

  t.Run("ExpiredToken", func(t *testing.T) {
    w := httptest.NewRecorder()
    req, _ := http.NewRequest("GET", someProtectedPath, nil)
    expirationTime := time.Second
    expiredToken, _, err := helpers.GenerateAccessJWT(userID, email, firstName, lastName, scopes, expirationTime)
    time.Sleep(expirationTime * 2)
    req.Header.Set(constants.AuthorizationHeader, fmt.Sprintf("Bearer %s", expiredToken))
    engine.ServeHTTP(w, req)
    assert.Equal(t, http.StatusUnauthorized, w.Code)
    assert.Nil(t, err)
  })

  t.Run("ValidToken", func(t *testing.T) {
    w := httptest.NewRecorder()
    req, _ := http.NewRequest("GET", someProtectedPath, nil)
    validToken, _, err := helpers.GenerateAccessJWT(userID, email, firstName, lastName, scopes)
    req.Header.Set(constants.AuthorizationHeader, fmt.Sprintf("Bearer %s", validToken))
    engine.ServeHTTP(w, req)
    assert.Nil(t, err)
    assert.Equal(t, http.StatusOK, w.Code)

  })
}

以上就是本文的全部内容了，是否有顺利帮助你解决问题？若是能给你带来学习上的帮助，请大家多多支持golang学习网！更多关于Golang的相关知识，也可关注golang学习网公众号。