Springboot学习笔记——若依框架中token用户认证机制下的后端接口测试

Springboot学习笔记——若依框架中token用户认证机制下的后端接口测试

  • token用户认证机制
    • request和session的区别
    • token主要有两个作用
    • 防止表单重复提交
    • 使用基于 Token 的身份验证方法,在服务端不需要存储用户的登录记录。
    • ajax中传递token的几种方式
  • postman 实现接口数据传递(验证码、登录、token)
    • 解决思路
    • postman 配置说明
  • 最简单直接的方式:

问题描述
目标:使用 postman 要模拟一个登录的过程
过程:登录需要用户名和密码,为了防止机器人登录,需要一个验证码,即登录前需要请求验证码
其他接口(几十个)需要登录成功返回的token作为参数传递

token用户认证机制

request和session的区别

request 指在一次请求的全过程中有效,即从http请求到服务器处理结束,返回响应的整个过程,存放在HttpServletRequest对象中。在这个过程中可以使用forward方式跳转多个jsp。在这些页面里你都可以使用这个变量。request是用户请求访问的当前组件,以及和当前web组件共享同一用户请求的web组件。如:被请求的jsp页面和该页面用指令包含的页面以及标记包含的其它jsp页面;
Session是用户全局变量,在整个会话期间都有效。只要页面不关闭就一直有效(或者直到用户一直未活动导致会话过期,默认session过期时间为30分钟,或调用HttpSession的invalidate()方法)。存放在HttpSession对象中 ,同一个http会话中的web组件共享它。

token主要有两个作用

1:防止表单重复提交(防止表单重复提交一般还是使用前后端都限制的方式,比如:在前端点击提交之后,将按钮置为灰色,不可再次点击,然后客户端和服务端的token各自独立存储,客户端存储在Cookie或者Form的隐藏域(放在Form隐藏域中的时候,需要每个表单)中,服务端存储在Session(单机系统中可以使用)或者其他缓存系统(分布式系统可以使用)中。)
2:用来作身份验证,其他接口将从环境变量中获取token的值,设置到header中。

防止表单重复提交

主要的理念是,客户端初始化的时候,一般就是刚刚进入页面的时候就调用后端代码,后端代码生成一个token,返回给客户端,客户端储存token(可以在前台使用Form表单中使用隐藏域来存储这个Token,也可以使用cookie),然后就将request(请求)中的token与(session)中的token进行比较。

使用基于 Token 的身份验证方法,在服务端不需要存储用户的登录记录。

大概的流程是这样的:

客户端使用用户名跟密码请求登录
服务端收到请求,去验证用户名与密码
验证成功后,服务端会签发一个 Token,再把这个 Token 发送给客户端
客户端收到 Token 以后可以把它存储起来,比如放在 Cookie 里或者 Local Storage 里
客户端每次向服务端请求资源的时候需要带着服务端签发的 Token
服务端收到请求,然后去验证客户端请求里面带着的 Token,如果验证成功,就向客户端返回请求的数据。

ajax中传递token的几种方式

方法一:放在请求头中
在这里插入图片描述
方法二:使用beforeSend方法设置请求头
在这里插入图片描述

postman 实现接口数据传递(验证码、登录、token)

明白了token的作用和机制,那么在后端的接口测试中也就不要想着怎么样去跳过token值和验证码的验证了(虽然我本人也尝试过),但很明显,如果被你跳过了这个测试,那么这个后端系统的安全问题也就太大了。接下来告诉大家我的后端接口测试方式:

解决思路

1:使用postman 先调用获取验证码的接口,将验证码返回的数据作为postman的环境变量
2:根据用户名和密码,再获取环境变量中的验证码拿到token,将token设置到环境变量中
3:其他接口将从环境变量中获取token的值,设置到header中

postman 配置说明

1.获取验证码请求
Springboot学习笔记——若依框架中token用户认证机制下的后端接口测试_第1张图片
在Tests 的选项卡中输入

var respObj = JSON.parse(responseBody);
// 获取到验证码的UUID,保存到环境变量中
postman.setEnvironmentVariable("loginUUID", respObj.uuid);
// 获取到验证码值,保存到环境变量中
postman.setEnvironmentVariable("loginVerifyCode", respObj.verifyCode);

2.登记请求
Springboot学习笔记——若依框架中token用户认证机制下的后端接口测试_第2张图片
传递JSON的参数(从环境变量获取)

{
	"username": "admin",
	"password": "admin123",
	"code": "{{loginVerifyCode}}",
	"uuid": "{{loginUUID}}"
}

3.test选项卡输入如下内容
Springboot学习笔记——若依框架中token用户认证机制下的后端接口测试_第3张图片
将token设置环境变量

var respObj = JSON.parse(responseBody);
// 获取到验证码的UUID,保存到环境变量中
postman.setEnvironmentVariable("token", respObj.token);

4.获取用户列表(将token设置到header中)
Springboot学习笔记——若依框架中token用户认证机制下的后端接口测试_第4张图片

最简单直接的方式:

第一步:消除shiro对接口的监控
在shiro配置文件shiroconfig中:
filterMap.put(“接口路径”, “anon”);
例如:
filterMap.put("/project/", “anon”);可消除shiro对/project接口路径下的所有请求的认证拦截。
第二步:取消测试接口的用户身份权限监听。
注销接口的@RequiresPermissions("
::")
参考:https://blog.csdn.net/hbiao68/article/details/107065318

你可能感兴趣的:(java)