Модульное тестирование ASP.Net атрибут авторизации MVC для проверки перенаправления на страницу входа

Ну, вы можете тестировать на неправильном уровне, но это тест, который имеет смысл. Я имею в виду, если я отмечаю метод с атрибутом authorize(Roles="Superhero"), мне действительно не нужен тест, если я его пометил. То, что я (думаю, что я) хочу, чтобы проверить, что несанкционированный пользователь не имеет доступа и что авторизованный пользователь делает.

для неавторизованного пользователя такой тест:

// Arrange
var user = SetupUser(isAuthenticated, roles);
var controller = SetupController(user);

// Act
SomeHelper.Invoke(controller => controller.MyAction());

// Assert
Assert.AreEqual(401,
  controller.ControllerContext.HttpContext.Response.StatusCode, "Status Code");

Ну, это не просто, и это заняло у меня 10 часов, но вот оно. Я надеюсь, что кто-то может извлеките из этого пользу или убедите меня перейти в другую профессию. :) (Кстати-я использую rhino mock)

[Test]
public void AuthenticatedNotIsUserRole_Should_RedirectToLogin()
{
    // Arrange
    var mocks = new MockRepository();
    var controller = new FriendsController();
    var httpContext = FakeHttpContext(mocks, true);
    controller.ControllerContext = new ControllerContext
    {
        Controller = controller,
        RequestContext = new RequestContext(httpContext, new RouteData())
    };

    httpContext.User.Expect(u => u.IsInRole("User")).Return(false);
    mocks.ReplayAll();

    // Act
    var result =
        controller.ActionInvoker.InvokeAction(controller.ControllerContext, "Index");
    var statusCode = httpContext.Response.StatusCode;

    // Assert
    Assert.IsTrue(result, "Invoker Result");
    Assert.AreEqual(401, statusCode, "Status Code");
    mocks.VerifyAll();
}

хотя, это не очень полезно без этой вспомогательной функции:

public static HttpContextBase FakeHttpContext(MockRepository mocks, bool isAuthenticated)
{
    var context = mocks.StrictMock<HttpContextBase>();
    var request = mocks.StrictMock<HttpRequestBase>();
    var response = mocks.StrictMock<HttpResponseBase>();
    var session = mocks.StrictMock<HttpSessionStateBase>();
    var server = mocks.StrictMock<HttpServerUtilityBase>();
    var cachePolicy = mocks.Stub<HttpCachePolicyBase>();
    var user = mocks.StrictMock<IPrincipal>();
    var identity = mocks.StrictMock<IIdentity>();
    var itemDictionary = new Dictionary<object, object>();

    identity.Expect(id => id.IsAuthenticated).Return(isAuthenticated);
    user.Expect(u => u.Identity).Return(identity).Repeat.Any();

    context.Expect(c => c.User).PropertyBehavior();
    context.User = user;
    context.Expect(ctx => ctx.Items).Return(itemDictionary).Repeat.Any();
    context.Expect(ctx => ctx.Request).Return(request).Repeat.Any();
    context.Expect(ctx => ctx.Response).Return(response).Repeat.Any();
    context.Expect(ctx => ctx.Session).Return(session).Repeat.Any();
    context.Expect(ctx => ctx.Server).Return(server).Repeat.Any();

    response.Expect(r => r.Cache).Return(cachePolicy).Repeat.Any();
    response.Expect(r => r.StatusCode).PropertyBehavior();

    return context;
}

Так что вы получите подтверждение, что пользователи не в роли не имеют доступа. Я попытался написать тест, чтобы подтвердить обратное, но после еще двух часов копания в MVC plumbing я оставлю его ручным тестерам. (Я бросил, когда добрался до класса VirtualPathProviderViewEngine. WTF? Я не хочу ничего делать с VirtualPath или провайдером или ViewEngine много союза трех!)

мне любопытно, почему это так трудно в якобы "тестирования" рамках.

почему бы просто не использовать отражение, чтобы искать [Authorize] атрибут класса контроллера и / или метода действия, который вы тестируете? Предполагая, что структура действительно гарантирует, что атрибут соблюдается, это было бы проще всего сделать.

Я не согласен с ответом Дилана, потому что "пользователь должен войти в систему" не означает, что "метод контроллера аннотируется атрибутом AuthorizeAttribute"

чтобы убедиться, что "пользователь должен войти в систему" при вызове метода действия, ASP.NET MVC framework делает что-то вроде этого (просто подождите, в конце концов это станет проще)

let $filters = All associated filter attributes which implement
               IAuthorizationFilter

let $invoker = instance of type ControllerActionInvoker
let $ctrlCtx = instance or mock of type ControllerContext
let $actionDesc = instance or mock of type ActionDescriptor
let $authzCtx = $invoker.InvokeAuthorizationFilters($ctrlCtx, $filters, $actionDesc);

then controller action is authorized when $authzCtx.Result is not null 

трудно реализовать этот псевдо скрипт в рабочем коде C#. Скорее всего,зания.сеть САШ.Симулятор делает его очень простой в настройке тест, как это и выполняет именно эти шаги под крышкой. вот вам пример.

сначала установите пакет из nuget (версия 1.4.0-beta4 на момент написания статьи)

PM > install-package Xania.сеть САШ.Симулятор-Пре

тогда ваш метод тестирования может выглядеть так (при условии, что установлены NUnit и FluentAssertions):

[Test]
public void AnonymousUserIsNotAuthorized()
{
  // arrange
  var action = new ProfileController().Action(c => c.Index());
  // act
  var result = action.GetAuthorizationResult();
  // assert
  result.Should().NotBeNull(); 
}

[Test]
public void LoggedInUserIsAuthorized()
{
  // arrange
  var action = new ProfileController().Action(c => c.Index())
     // simulate authenticated user
     .Authenticate("user1", new []{"role1"});
  // act
  var result = action.GetAuthorizationResult();
  // assert
  result.Should().BeNull(); 
}