本文介绍在 spring security（特别是 oauth2 resource server）启用后，如何在集成测试中既避免敏感配置泄露与外部依赖调用，又不牺牲安全逻辑的可测性——推荐使用 `mockmvc` + `@withmockjwtauth` 模拟 jwt 身份，而非禁用安全机制。
在 Spring Boot 应用接入 OAuth2 安全保护（如 Auth0、Keycloak）后，原有基于 TestRestTemplate 的端到端健康检查测试常会失败：不仅因缺失 auth0.audience、issuer-uri 等敏感属性导致上下文启动异常，更因测试试图真实连接认证服务器而违背“快速、隔离、可重复”的测试原则。此时，简单地“关闭 Spring Security”（例如通过 @TestConfiguration 替换 SecurityFilterChain）虽能通过测试，却彻底丧失对权限规则（如 .antMatchers(...).permitAll()、.anyRequest().hasAuthority(...)）的验证能力，使安全配置沦为未经验证的“盲区”。
正确的解法不是绕过安全，而是模拟安全。推荐采用 MockMvc 驱动的集成测试模式（@SpringBootTest(webEnvironment = WebEnvironment.MOCK)），配合 Spring Security Test 提供的 JWT 模拟工具，精准控制请求携带的令牌、声明（claims）与授权（authorities），从而在不触达真实 IdP 的前提下，完整覆盖：
- 匿名访问 /actuator/** 是否放行（permitAll）
- 无权限请求是否返回 401 Unauthorized
- 权限不足请求是否返回 403 Forbidden
- 权限完备请求是否成功响应（200 OK）
以下是一个生产就绪的测试示例：
@SpringBootTest(webEnvironment = WebEnvironment.MOCK)
@AutoConfigureMockMvc
class HealthDataImporterApplicationIntegrationTest {
@Autowired
private MockMvc mockMvc;
// ✅ Actuator 端点应始终对匿名开放
@Test
void givenAnonymousRequest_whenGetActuatorHealth_thenOk() throws Exception {
mockMvc.perform(get("/actuator/health"))
.andExpect(status().isOk())
.andExpect(jsonPath("$.status").value("UP"));
}
// ✅ 未认证访问受保护接口 → 401
@Test
void givenAnonymousRequest_whenGetProtectedEndpoint_thenUnauthorized() throws Exception {
mockMvc.perform(get("/api/v1/import"))
.andExpect(status().isUnauthorized());
}
// ✅ 携带正确 scope 的 JWT → 200
@Test
@WithMockJwtAuth("SCOPE_openid", "SCOPE_scope:scope")
void givenValidJwt_withRequiredScope_whenGetProtectedEndpoint_thenOk() throws Exception {
mockMvc.perform(get("/api/v1/import"))
.andExpect(status().isOk());
}
// ✅ Scope 不足 → 403（因 hasAuthority 检查失败）
@Test
@WithMockJwtAuth("SCOPE_openid")
void givenJwt_withoutRequiredScope_whenGetProtectedEndpoint_thenForbidden() throws Exception {
mockMvc.perform(get("/api/v1/import"))
.andExpect(status().isForbidden());
}
}? 关键说明：@WithMockJwtAuth("SCOPE_openid", "SCOPE_scope:scope") 是 spring-addons 提供的简洁注解，自动构造含指定 authorities 的模拟 JWT，比原生 jwt().jwt(...) 更易读、易维护；若倾向零第三方依赖，可直接使用 Spring Security Test 内置支持（见答案中对比代码），但需手动构建 SimpleGrantedAuthority 列表；webEnvironment = MOCK 启动轻量级 Web 上下文（不启动真实 HTTP 服务），配合 @AutoConfigureMockMvc 注入 MockMvc 实例，性能远优于 RANDOM_PORT + TestRestTemplate；无需修改 SecurityConfig：上述测试完全兼容你现有的 HttpSecurity 配置，包括 oauth2ResourceServer().jwt() 和自定义 JwtDecoder（只要测试不触发 NimbusJwtDecoder 初始化即可——而 MockMvc 模式下 JWT 解析由内存模拟器完成，不走真实网络）。
额外建议：
- 在 src/test/resources/application-test.properties 中显式配置 spring.security.oauth2.resourceserver.jwt.audiences=your-audience，替代硬编码 AudienceValidator，更符合 Spring Boot 最佳实践；
- 对 @Service 或 @Repository 层的方法级安全（如 @PreAuthorize("hasAuthority('SCOPE_scope:scope')")），同样可结合 @WithMockJwtAuth 在单元测试中验证，无需启动 Web 层；
- 始终将安全逻辑视为核心业务逻辑的一部分——它值得被测试，且必须被正确测试。
综上，放弃 TestRestTemplate + RANDOM_PORT 的“黑盒”测试，转向 MockMvc + 模拟身份的“灰盒”集成测试，是兼顾安全性、可维护性与测试效率的现代 Spring Boot 工程实践。
