Главни Испитивање Пожара Коришћење РЕСТ-ассуред за тестирање примера протока ОАутх 2.0

Коришћење РЕСТ-ассуред за тестирање примера протока ОАутх 2.0

ОАутх 2.0 пружа четири различита тока, али главни циљ сваког тока је да добити аццесс_токен и користите га за приступ заштићеним ресурсима.

Четири различита тока су:

Додељивање ауторизационог кода
Имплицитни ток одобрења
Акредитив клијента
Ток додељивања лозинке

Овај водич садржи примере кода који користе РЕСТ-ассуред за тестирање токова ОАутх 2.0, одобрења ауторизационог кода и клијентских акредитива.

Код одобрења Ток одобрења

Ово је најчешћи ток где се код издаје и користи за добијање аццесс_токен . Овај код се гура у фронт-енд апликацију (у прегледачу) након што се корисник пријави. Аццесс_токен се издаје на страни сервера, аутентификује клијента својом лозинком и добијеним кодом.

Процес у три корака:

1 - Набавите ауторски код
2 - Набавите приступни жетон
3 - Користите Аццесс Токен (за приступ заштићеним ресурсима)

Набавите ауторски код

Први корак је добијање code:

import io.restassured.RestAssured; import io.restassured.http.ContentType; import io.restassured.response.Response; import org.junit.jupiter.api.Assertions; import org.junit.jupiter.api.BeforeAll; import org.junit.jupiter.api.Test;  import static io.restassured.RestAssured.given;  import java.util.Base64;  public class RestAssuredOAuth2 {
 public static String clientId = 'some_client_id';
public static String redirectUri = 'some_redirect_uri';
public static String scope = 'some_scope';
public static String username = 'some_email';
public static String password = 'some_password';
 public static String encode(String str1, String str2) {
    return new String(Base64.getEncoder().encode((str1 + ':' + str2).getBytes()));
}
 public static Response getCode() {
    String authorization = encode(username, password);

return


  given()




.header('authorization', 'Basic ' + authorization)




.contentType(ContentType.URLENC)




.formParam('response_type', 'code')




.queryParam('client_id', clientId)




.queryParam('redirect_uri', redirectUri)




.queryParam('scope', scope)




.post('/oauth2/authorize')




.then()




.statusCode(200)




.extract()




.response();
}
 public static String parseForOAuth2Code(Response response) {
    return response.jsonPath().getString('code');
}
 @BeforeAll
public static void setup() {
    RestAssured.baseURI = 'https://some-url.com';
}
 @Test
public void iShouldGetCode() {
    Response response = getCode();
    String code = parseForOAuth2Code(response);

Assertions.assertNotNull(code);
} }

Набавите приступни жетон

Када добијемо ауторизациони код, можемо затражити access_token:

public static Response getToken(String authCode) {
String authorization = encode(username, password);
 return
    given()

   .header('authorization', 'Basic ' + authorization)

   .contentType(ContentType.URLENC)

   .queryParam('code', authCode)

   .queryParam('redirect_uri', redirectUri)

   .queryParam('grant_type', grantType)

   .post('/oauth2/token')

   .then()

   .statusCode(200)

   .extract()

   .response();
}
 public static String parseForAccessToken(Response loginResponse) {
    return loginResponse.jsonPath().getString('access_token');
}
 @Test
public void iShouldGetToken() {
    Response tokenResponse = getToken(code);
    String accessToken = parseForAccessToken(tokenResponse);
    Assertions.assertNotNull(accessToken);
}

Коришћење приступног токена

Коначно, када имамо важећи access_token, тада можемо да упућујемо захтеве заштићеним ресурсима:

public static void getUsers() {
given().auth()
    .oauth2(accessToken)
    .when()
    .get('/users')
    .then()
    .statusCode(200); }

Токен за приступ такође можемо послати као Authorization Header са Bearer префикс:

На пример:

public static void getUsers() {
given()
    .header('Authorization', 'Bearer ' + accessToken)
    .when()
    .get('/users')
    .then()
    .statusCode(200); }

Проток акредитива клијента

Проток акредитива клијента није укључен у кориснички интерфејс (прегледач) и углавном се користи за ауторизацију Мацхине-то-Мацхине.

У РЕСТ-осигурању, ово ће изгледати овако:

import io.restassured.RestAssured; import io.restassured.http.ContentType; import io.restassured.response.Response;  import org.junit.jupiter.api.Assertions; import org.junit.jupiter.api.BeforeAll; import org.junit.jupiter.api.Test;  import static io.restassured.RestAssured.given; import static io.restassured.RestAssured.requestSpecification;  public class RestAssuredOAuth2 {
 public static Response response;
private String userAdminClientId = System.getenv('M2M_USER_ADMIN_CLIENT_ID');
private String userAdminClientSecret = System.getenv('M2M_USER_ADMIN_CLIENT_SECRET');
 private String oauth2Payload = '{
' +

   '  'client_id': '' + userAdminClientId + '',
' +

   '  'client_secret': '' + userAdminClientSecret + '',
' +

   '  'audience': 'https://some-url.com/user',
' +

   '  'grant_type': 'client_credentials',
' +

   '  'scope': 'user:admin' 
}';
 private static String createUserPayload = '{
' +

   '  'username': 'api-user',
' +

   '  'email': 'api-user@putsbox.com',
' +

   '  'password': 'Passw0rd123!',
' +

   '  'firstName': 'my-first-name',
' +

   '  'lastName': 'my-last-name',
' +

   '  'roles': ['read'] 
}';
 public void userAdminConfigSetup() {
    requestSpecification = given().auth().oauth2(getAccessToken(oauth2Payload))


  .header('Accept', ContentType.JSON.getAcceptHeader())


  .contentType(ContentType.JSON);
}
 public String getAccessToken(String payload) {
    return given()


  .contentType(ContentType.JSON)


  .body(payload)


  .post('/token')


  .then().extract().response()


  .jsonPath().getString('access_token');
}
 @BeforeAll
public static void setup() {
    RestAssured.baseURI = 'https://some-url.com';
}
 @Test
public void createUser() {
    userAdminConfigSetup();
    response = given(requestSpecification)


  .body(createUserPayload)


  .post('/user')


  .then().extract().response();

Assertions.assertEquals(201, response.statusCode());
} }

Закључак

Овде смо навели примере кода са РЕСТ-уверавањем како доћи до access_token користећи токове ОАутх 2.0. Једном када добијемо access_token тада можемо да поднесемо захтеве за заштићене ресурсе.

Надам се да вам је горе наведено било корисно.