我编写了一些中间件来检查以确保JWT token 有效:
func JwtVerify(next http.Handler) http.Handler {
return http.HandlerFunc(func(rw http.ResponseWriter, r *http.Request) {
//Get the token from the header
header := r.Header.Get("Authorization")
//If Authorization is empty, return a 403
if header == "" {
rw.WriteHeader(http.StatusForbidden)
json.NewEncoder(rw).Encode(ErrorMsg{ Message: "Missing Authentication Token" })
return
}
header = strings.Split(header, "Bearer ")[1]
token, err := jwt.Parse(header, func(token *jwt.Token) (i interface{}, err error) {
if _, ok := token.Method.(*jwt.SigningMethodHMAC); !ok {
return nil, fmt.Errorf("unexpected signing method: %v", token.Header["alg"])
}
// TODO: REMOVE THE SECRET
return []byte("MyTestSecret"), nil
})
// Return the error
if err != nil {
rw.WriteHeader(http.StatusForbidden)
json.NewEncoder(rw).Encode(ErrorMsg{Message: err.Error()})
return
}
if token.Valid {
log.Println("JWT Token is valid")
next.ServeHTTP(rw, r)
}
})
}
我已经尝试为此编写一些测试,但是我只能理解我要去哪里,测试应该失败,因为 token 无效,但 token 仍然通过:
func TestJwtVerify(t *testing.T) {
token := "Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9.eyJpYXQiOjE1ODcwNTIzMTcsImV4cCI6MTU4NzA1MjkxNywic2Vzc2lvbi1kYXRhIjoiVGVzdC5NY1Rlc3RGYWNlQG1haWwuY29tIn0.f0oM4fSH_b1Xi5zEF0VK-t5uhpVidk5HY1O0EGR4SQQ"
req, err := http.NewRequest("GET", "/jwt", nil)
if err != nil {
t.Fatal(err)
}
req.Header.Set("Authorization", token)
testHandler := http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
if r.Response.StatusCode == 403 {
t.Fatalf("Response should be 200 for a valid JWT Token")
}
})
rw := httptest.NewRecorder()
handler := JwtVerify(testHandler)
handler.ServeHTTP(rw, req)
}
有人可以解释我要去哪里了吗?
最佳答案
您遇到了几个问题。
首先,您的测试提供了一个testHandler
函数,该函数应在发生任何错误时运行,但是您的JwtVerify
函数仅在 token 有效时才运行下一个处理程序:
if token.Valid {
log.Println("JWT Token is valid")
next.ServeHTTP(rw, r)
}
因此,您已确保 token 无效时
testHandler
永远不会运行,因此您的测试不会失败。您的第二个问题在这里:
if r.Response.StatusCode == 403 {
t.Fatalf("Response should be 200 for a valid JWT Token")
}
根据
http.Request
的文档:Response is the redirect response which caused this request to be created. This field is only populated during client redirects.
并且由于此请求不是响应客户端重定向,因此不会填充
Response
字段,尤其是状态代码将不会由您写入http.ResponseWriter
的 header 确定。通常,您无法以这种方式获取状态代码,通常的方法是让早期的中间件包装http.ResponseWriter
,并在写入状态的中间件返回后从该包装器获取状态。如评论中所述,执行此操作的正确方法是检查
httptest.ResponseRecorder
中的状态码,因为其目的是在测试过程中检查HTTP响应。
关于go - 不应通过中间件HTTP测试,我们在Stack Overflow上找到一个类似的问题: https://stackoverflow.com/questions/61271750/