2

Допустим, я создал пустое приложение asp.net core 2.1 и добавил [Authorize] на экшн About.

Как мне в юнит-тестах проверить, что страница Index отдаётся незалогиненным пользователям, а страница About стала требовать авторизацию?

6
  • Сомневаюсь, что такое вообще стоит покрывать тестами. Проверять надо поведение, а не состояние. От чего защищает такой тест? От того, что разработчик забудет поставить атрибут? Он и тест забудет написать. От того, что он умышленно снесёт атрибут? Так он сразу же снесёт и тест, раз осознанно отключал авторизацию. Максимум - это защита от кривого мержа при одновременно расстановке атрибутов двумя людьми - что в случае авторизации слишком маловероятно. А оверхед на кодинг теста - огромный, именно такое приводят как пример "мы писали тесты, но на них уходило слишком много времени"
    – user177221
    1 янв 2019 в 22:38
  • @PashaPash Спасибо за мнение, поясню зачем. Мне это понадобилось в одном тестовом проекте, где я пытаюсь одновременно указать и авторизацию на jwt-токенах для фронта на vue и обычной авторизации для десятка razor pages, которые ещё не перенесены на фронт. Я о таком только читал, но никогда не делал - поэтому самый простой способ настраивать, чтобы то в одном месте не поломалось, то в другом (сейчас так и происходит) - обложить заранее тестами, что я и сделал.
    – A K
    1 янв 2019 в 22:51
  • jwt-токены и "обычная" (она же cookies) - это не авторизация, это аутентификация. Это две разных вещи, в тои числе и в asp.net (два разных типа фильтров!). Аутентификация проверяет подлинность (в asp.net - определяет пользователя по токену или по куке). Авторизация - определяет, разрешено ли пользователю какое-то действие. Нет смысла подпирать тестами авторизацию при смене механизма аутентификации :) Если вы прикрутите jwt вместо cookies - у вас или все будет работать правильно, или пользователей вообще перестанет пускать в приложение. Но ситуация, когда пустит незалогиненного, не возникнет.
    – user177221
    1 янв 2019 в 23:21
  • В ответе, кстати, тоже перепутаны термины. Авторизованный пользователь - это тот, которому дали право доступа, а не обязательно просто "залогиненный".
    – user177221
    1 янв 2019 в 23:23
  • @PashaPash Вот у меня пускает почему-то туда, где не должно (( Причём по отдельности (либо токены, либо куки) работает правильно, проблемы, когда начинаешь совмещать вместе. И мне надоело перезапускать проект и смотреть что где отвалилось -- поэтому я решил, что перезапуск тестов побыстрее будет.
    – A K
    1 янв 2019 в 23:24

1 ответ 1

1

Для того, чтобы проверить что страница доступна под незалогиненным пользователем достаточно убедиться, что код ответа будет 2хх:

[TestFixture]
public class HomeControllerTest
{
    public HomeControllerTest()
    {
        this._factory = new CustomWebApplicationFactory<Startup>();
    }

    private readonly WebApplicationFactory<Startup> _factory;

    [Test]
    public async Task IndexPage_ForNonLoggedUser_ReturnsPageContent()
    {
        // Arrange
        var client = this._factory.CreateClient();

        // Act
        var response = await client.GetAsync("/");

        // Assert
        response.EnsureSuccessStatusCode(); // Status Code 200-299
    }
}

А вот проверка того, что страница доступна под авторизованным пользователем более сложная: необходим в клиенте выключить автоматический переход по редиректам и проверить, что нас редиректит на страницу авторизации.

[Test]
public async Task AboutPage_ForNonLoggedUser_RedirectsToLoginPages()
{
    // Arrange
    var client = this._factory.CreateClient(
        new WebApplicationFactoryClientOptions
        {
            AllowAutoRedirect = false
        });

    // Act
    var response = await client.GetAsync("/Home/About");

    // Assert
    Assert.AreEqual(HttpStatusCode.Redirect, response.StatusCode);
    StringAssert.StartsWith("http://localhost/Identity/Account/Login", response.Headers.Location.OriginalString);
}

(Я видел в сети примеры, в которых проверялся ответ 403, возможно это работало для более ранних версий asp.net core, у меня на 2.1 требуется именно проверка редиректа)

Ровно такие же тесты необходимы и для Razor Page, в них нет ничего отличного от подобных проверок.

В принципе, подробное описание есть в документации, а также там приведена ссылка на тестовое приложение с xUnit.

6
  • В принципе правильно проверять http 403 407 коды ошибок по авторизации, оно может быть и как прокси настроено легко (серверная часть).
    – NewView
    1 янв 2019 в 21:15
  • @NewView Я специально выделил, что проверять 403 не получится. Дело в том, что после редиректа мы приходим на страницу /Identity/Account/Login которая отдаёт 200 OK.
    – A K
    1 янв 2019 в 21:34
  • Не, не, первый хеадер она по http стандарту должна отдать 403 или 407, в зависимости от настроек. Если отдает 200, значит с ней что то не так, или это не чистая http авторизация, а какой-то суррогат. Только так клиент может отличить что от него хотят пароль по http авторизации.
    – NewView
    1 янв 2019 в 21:36
  • @NewView Вы кажется подразумеваете 401 authorization required (Я как-то подробно изучал заголовки на примере ntlm и тут). И в asp.net identity авторизация идёт на основе кук (авторизация веб-формой)
    – A K
    1 янв 2019 в 21:42
  • Да, точно! 401 и 407 :) время отложить прибор.. праздники
    – NewView
    1 янв 2019 в 21:45

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.