使用請求頭認證來測試需要授權的 API 介面

来源:https://www.cnblogs.com/weihanli/archive/2020/06/09/13069931.html
-Advertisement-
Play Games

使用請求頭認證來測試需要授權的 API 介面 Intro 有一些需要認證授權的介面在寫測試用例的時候一般會先獲取一個 token，然後再去調用介面，其實這樣做的話很不靈活，一方面是存在著一定的安全性問題，獲取 token 可能會有一些用戶名密碼之類的測試數據，還有就是獲取 token 的話如果全局使 ...


使用請求頭認證來測試需要授權的 API 介面

Intro

有一些需要認證授權的介面在寫測試用例的時候一般會先獲取一個 token，然後再去調用介面，其實這樣做的話很不靈活，一方面是存在著一定的安全性問題，獲取 token 可能會有一些用戶名密碼之類的測試數據，還有就是獲取 token 的話如果全局使用同一個 token 會很不靈活，如果我要測試沒有用戶信息的話還比較簡單，我可以不傳遞 token，如果token里有兩個角色，我要測試另外一個角色的時候，只能給這個測試用戶新增一個角色然後再獲取token，這樣就很不靈活，於是我就嘗試把之前寫的自定義請求頭認證的代碼，整理了一下，集成到了一個 nuget 包里以方便其他項目使用，nuget 包是 WeihanLi.Web.Extensions，源代碼在這裡 https://github.com/WeihanLi/WeihanLi.Web.Extensions 有想自己改的可以直接拿去用，目前提供了基於請求頭的認證和基於 QueryString 的認證兩種認證方式。

實現效果

基於請求頭動態配置用戶的信息，需要什麼樣的信息就在請求頭中添加什麼信息，示例如下：

再來看個單元測試的示例：

[Fact]
public async Task MakeReservationWithUserInfo()
{
    using var request = new HttpRequestMessage(HttpMethod.Post, "/api/reservations");

    request.Headers.TryAddWithoutValidation("UserId", GuidIdGenerator.Instance.NewId()); // 用戶Id
    request.Headers.TryAddWithoutValidation("UserName", Environment.UserName); // 用戶名
    request.Headers.TryAddWithoutValidation("UserRoles", "User,ReservationManager"); //用戶角色

    request.Content = new StringContent($@"{{""reservationUnit"":""nnnnn"",""reservationActivityContent"":""13211112222"",""reservationPersonName"":""謝謝謝"",""reservationPersonPhone"":""13211112222"",""reservationPlaceId"":""f9833d13-a57f-4bc0-9197-232113667ece"",""reservationPlaceName"":""第一多功能廳"",""reservationForDate"":""2020-06-13"",""reservationForTime"":""10:00~12:00"",""reservationForTimeIds"":""1""}}", Encoding.UTF8, "application/json");

    using var response = await Client.SendAsync(request);
    Assert.Equal(HttpStatusCode.OK, response.StatusCode);
}

實現原理解析

實現原理其實挺簡單的，就是實現了一種基於 header 的自定義認證模式，從 header 中獲取用戶信息併進行認證，核心代碼如下：

protected override async Task<AuthenticateResult> HandleAuthenticateAsync()
{
    if (await Options.AuthenticationValidator(Context))
    {
        var claims = new List<Claim>();
        if (Request.Headers.TryGetValue(Options.UserIdHeaderName, out var userIdValues))
        {
            claims.Add(new Claim(ClaimTypes.NameIdentifier, userIdValues.ToString()));
        }
        if (Request.Headers.TryGetValue(Options.UserNameHeaderName, out var userNameValues))
        {
            claims.Add(new Claim(ClaimTypes.Name, userNameValues.ToString()));
        }
        if (Request.Headers.TryGetValue(Options.UserRolesHeaderName, out var userRolesValues))
        {
            var userRoles = userRolesValues.ToString()
                .Split(new[] { Options.Delimiter }, StringSplitOptions.RemoveEmptyEntries);
            claims.AddRange(userRoles.Select(r => new Claim(ClaimTypes.Role, r)));
        }

        if (Options.AdditionalHeaderToClaims.Count > 0)
        {
            foreach (var headerToClaim in Options.AdditionalHeaderToClaims)
            {
                if (Request.Headers.TryGetValue(headerToClaim.Key, out var headerValues))
                {
                    foreach (var val in headerValues.ToString().Split(new[] { Options.Delimiter }, StringSplitOptions.RemoveEmptyEntries))
                    {
                        claims.Add(new Claim(headerToClaim.Value, val));
                    }
                }
            }
        }

        // claims identity 's authentication type can not be null https://stackoverflow.com/questions/45261732/user-identity-isauthenticated-always-false-in-net-core-custom-authentication
        var principal = new ClaimsPrincipal(new ClaimsIdentity(claims, Scheme.Name));
        var ticket = new AuthenticationTicket(
            principal,
            Scheme.Name
        );
        return AuthenticateResult.Success(ticket);
    }

    return AuthenticateResult.NoResult();
}

其實就是將請求頭的信息讀取到 Claims，然後返回一個 ClaimsPrincipal 和 AuthenticationTicket，在讀取 header 之前有一個 AuthenticationValidator 是用來驗證請求是不是滿足使用 Header 認證，是一個基於 HttpContext 的斷言委托(Func<HttpContext, Task<bool>>)，預設實現是驗證是否有 UserId 對應的 Header，如果要修改可以通過 Startup 來配置

使用示例

Startup 配置，和其它的認證方式一樣，Header 認證和 Query 認證也提供了基於 AuthenticationBuilder 的擴展，只需要在 services.AddAuthentication() 後增加 Header 認證的模式即可，示例如下：


services.AddAuthentication(HeaderAuthenticationDefaults.AuthenticationSchema)
    .AddQuery(options =>
    {
        options.UserIdQueryKey = "uid";
    })
    .AddHeader(options =>
    {
        options.UserIdHeaderName = "X-UserId";
        options.UserNameHeaderName = "X-UserName";
        options.UserRolesHeaderName = "X-UserRoles";
    });

預設的 Header 是 UserId/UserName/UserRoles，你也可以自定義為符合自己需要的配置，如果只是想新增一個轉換可以配置 AdditionalHeaderToClaims 增加自己需要的請求頭 => Claims 轉換，AuthenticationValidator 也可以自定義，就是上面提到的會首先會驗證是不是需要讀取 Header，驗證通過之後才會讀取 Header 信息並認證

測試示例

有一個介面我需要登錄之後才能訪問，需要用戶信息，類似下麵這樣

[HttpPost]
[Authorize]
public async Task<IActionResult> MakeReservation(
    [FromBody] ReservationViewModel model
    )
{
    // ...
}

在測試代碼里我配置使用了 Header 認證，在請求的時候直接通過 Header 來控制用戶的信息

Startup 配置：

services
    .AddAuthentication(HeaderAuthenticationDefaults.AuthenticationSchema)
    .AddHeader()
    // 使用 Query 認證
    //.AddAuthentication(QueryAuthenticationDefaults.AuthenticationSchema)
    //.AddQuery()
    ;

測試代碼：

[Fact]
public async Task MakeReservationWithUserInfo()
{
    using var request = new HttpRequestMessage(HttpMethod.Post, "/api/reservations");
    request.Headers.TryAddWithoutValidation("UserId", GuidIdGenerator.Instance.NewId());
    request.Headers.TryAddWithoutValidation("UserName", Environment.UserName);
    request.Headers.TryAddWithoutValidation("UserRoles", "User,ReservationManager");

    request.Content = new StringContent($@"{{""reservationUnit"":""nnnnn"",""reservationActivityContent"":""13211112222"",""reservationPersonName"":""謝謝謝"",""reservationPersonPhone"":""13211112222"",""reservationPlaceId"":""f9833d13-a57f-4bc0-9197-232113667ece"",""reservationPlaceName"":""第一多功能廳"",""reservationForDate"":""2020-06-13"",""reservationForTime"":""10:00~12:00"",""reservationForTimeIds"":""1""}}", Encoding.UTF8, "application/json");

    using var response = await Client.SendAsync(request);
    Assert.Equal(HttpStatusCode.OK, response.StatusCode);
}

[Fact]
public async Task MakeReservationWithInvalidUserInfo()
{
    using var request = new HttpRequestMessage(HttpMethod.Post, "/api/reservations");

    request.Headers.TryAddWithoutValidation("UserName", Environment.UserName);

    request.Content = new StringContent($@"{{""reservationUnit"":""nnnnn"",""reservationActivityContent"":""13211112222"",""reservationPersonName"":""謝謝謝"",""reservationPersonPhone"":""13211112222"",""reservationPlaceId"":""f9833d13-a57f-4bc0-9197-232113667ece"",""reservationPlaceName"":""第一多功能廳"",""reservationForDate"":""2020-06-13"",""reservationForTime"":""10:00~12:00"",""reservationForTimeIds"":""1""}}", Encoding.UTF8, "application/json");

    using var response = await Client.SendAsync(request);
    Assert.Equal(HttpStatusCode.Unauthorized, response.StatusCode);
}

[Fact]
public async Task MakeReservationWithoutUserInfo()
{
    using var request = new HttpRequestMessage(HttpMethod.Post, "/api/reservations")
    {
        Content = new StringContent(
            @"{""reservationUnit"":""nnnnn"",""reservationActivityContent"":""13211112222"",""reservationPersonName"":""謝謝謝"",""reservationPersonPhone"":""13211112222"",""reservationPlaceId"":""f9833d13-a57f-4bc0-9197-232113667ece"",""reservationPlaceName"":""第一多功能廳"",""reservationForDate"":""2020-06-13"",""reservationForTime"":""10:00~12:00"",""reservationForTimeIds"":""1""}",
            Encoding.UTF8, "application/json")
    };

    using var response = await Client.SendAsync(request);
    Assert.Equal(HttpStatusCode.Unauthorized, response.StatusCode);
}

More

QueryString 認證和請求頭認證是類似的，這裡就不再贅述，只是把請求頭上的參數轉移到 QueryString 上了，覺得不夠好用的可以直接 Github 上找源碼修改, 也歡迎 PR，源碼地址： https://github.com/WeihanLi/WeihanLi.Web.Extensions

Reference


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • QT5 解析JSON文件
    QT讀JSON文件步驟，這裡把過程記錄一下，網上大多都是怎麼寫json的，對於讀的，記錄的不多 首先JSON文件格式必須為UTF-8（非UTF-8 with BOM）,UTF-8 with BOM 即為UTF-8 前加了BOM標識，會導致解析失敗，報錯內容非法,這時候就將文件保存為UTF-8就好了。 ...
  • VS2019啟用Docker支持的坑
    使用vs2019創建ASP.Net Core Web應用程式： 右側高級選項中有一項啟用Docker支持，勾選後vs會自動幫我們創建Dockerfile： 看一下Dockerfile的內容： #See https://aka.ms/containerfastmode to understand ho ...
  • [原創][開源] SunnyUI.Net 主題
    SunnyUI為了避免視覺傳達差異，使用一套特定的調色板來規定顏色，為你所搭建的產品提供一致的外觀視覺感受。 主色 SunnyUI主要品牌顏色是鮮艷、友好的藍色。 ...
  • 【asp.net core 系列】8 實戰之 利用 EF Core 完成數據操作層的實現
    0. 前言 通過前兩篇，我們創建了一個項目，並規定了一個基本的數據層訪問介面。這一篇，我們將以EF Core為例演示一下數據層訪問介面如何實現，以及實現中需要註意的地方。 1. 添加EF Core 先在數據層實現層引入 EF Core： cd Domain.Implements dotnet add ...
  • .net core3.1 abp學習開始（一）
    vs版本 2019，鏈接資料庫使用Navicat，資料庫MySql abp的官網：https://aspnetboilerplate.com/，我們去Download這裡下載一個模板，需要選好Target Version、輸入項目名字，我這裡使用abp的mvc版本、項目名為AbpLearn下載一份 ...
  • LiveCharts 提示框（DataTooltip）百分比一直為0.00%解決辦法
    LiveCharts 提示框（DataTooltip）百分比一直為0.00%解決辦法 問題描述：在使用LiveCharts 開源圖標庫的時候，使用CartesianChart類圖表，當Series為LineSeries（多個對象）類型時，DataTooltip數據提示框會提示每個點對應的百分比，但一 ...
  • WPF MvvM DataGrid數據不刷新的原因
    後臺修改前臺不刷新可能的原因： 1.前臺頁面沒有寫Binding 2.後臺數據定義的欄位沒有get和set 3.數據容器沒有使用ObservableCollection 4.欄位內容修改時沒有重置數據源 首先簡單舉例界面代碼如下： <DataGrid Name="DG" ItemsSource="{ ...
  • .net core下使用事件匯流排
    隨著微服務的火熱，DDD(領域驅動設計模式)思想風起雲涌，衝擊著整個軟體生態系統。其中，事件匯流排那是必須知道的了，於是我便抱著一個學習DDD的心態搭建了一個博客網站，目前該網站正在建設階段，後續會不斷完善，這裡我只是講一下我裡面所用到的事件匯流排。 事件匯流排，我的理解就是發佈訂閱模式，這裡有一篇文章寫 ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類