正在测试具有授权筛选器的WebAPI操作

Question

我有一个Web API，我已经添加了[Authorize]属性，这意味着我以前的单元测试现在由于未经授权而失败。以下是一个基本测试的示例以及初始化方法：

[TestInitialize]
public void CreateServer() {
    var config = new HttpConfiguration();
    WebApiConfig.Configure(config); // Create the routes
    var server = new HttpServer(config);
    this.client = new HttpClient(server);
}
[TestMethod]
public void MyThings_GET_Returns_All_MyThings() {
    var response = this.client.GetAsync("http://localhost/api/1.0/mythings").Result;
    var mythings = response.Content.ReadAsAsync<IEnumerable<MyThing>>().Result;
    Assert.AreEqual(HttpStatusCode.OK, response.StatusCode);
    Assert.AreEqual(4, mythings.Count());
}

我想知道的是，是否有任何方法可以让我的测试登录以使其通过授权过滤器，或者是否有任何方式可以作为ASPXAUTH cookie与HttpClient请求一起传递？或者另一种我没有想到的通过授权的方式？

我尝试过的似乎都不起作用，我很难在任何地方找到任何有用的信息。

提前谢谢。

Answer 1

Authorize属性在执行授权检查时会做什么？脑海中浮现出不少选项：

• 授权过滤器支持多种获取所需"授权令牌"的方式（例如，通过HTTP标头或querystring参数等）
• 在测试初始化之后，立即从配置中清除过滤器（这样就不会调用它）。如果你选择走这条路，那么你可能希望弹出一个新的过滤器，设置任何可能在管道中进一步使用的授权值
• 如果您正在使用依赖项注入，请将"授权检查"移动到可以在配置中更新的某种IAuthorize位置

我还建议使用RestSharp对端点进行查询，因为它在指定头、参数等方面做得很好。

Answer 2

我认为我处理这个问题的方式从根本上是错误的。在Web API中使用基于cookie的授权不是一个好主意，所以我决定取消authorize属性，改为执行基于API-Key的身份验证。这使得测试更加容易，因为我可以在请求中传递正确的API密钥，但也意味着我不依赖cookie进行授权。