ユニットテスト：セキュリティと認可

概要

このスキルは、@PreAuthorize、@Secured、@RolesAllowed、およびカスタム権限評価器を使用した Spring Security 認可ロジックのユニットテストのパターンを提供します。ロールベースアクセス制御 (RBAC)、式ベースの認可、カスタム権限評価器のテスト、および Spring Security の完全なコンテキストなしでアクセス拒否シナリオの検証をカバーします。

使用時期

このスキルは以下の場合に使用してください：

• @PreAuthorize と @Secured メソッドレベルセキュリティのテスト
• ロールベースアクセス制御 (RBAC) のテスト
• カスタム権限評価器のテスト
• アクセス拒否シナリオの検証
• 認証されたプリンシパルを使用した認可のテスト
• Spring Security の完全なコンテキストなしで高速な認可テストが必要な場合

手順

Spring Security 認可をテストするには、以下の手順に従ってください：

1. セキュリティテスト依存関係の設定

テスト依存関係に spring-security-test を追加します：

<dependency>
  <groupId>org.springframework.security</groupId>
  <artifactId>spring-security-test</artifactId>
  <scope>test</scope>
</dependency>

2. テスト設定でメソッドセキュリティを有効化

@Configuration
@EnableMethodSecurity
class TestSecurityConfig { }

3. @WithMockUser でテスト

@Test
@WithMockUser(roles = "ADMIN")
void shouldAllowAdminAccess() {
  assertThatCode(() -> service.deleteUser(1L))
    .doesNotThrowAnyException();
}

@Test
@WithMockUser(roles = "USER")
void shouldDenyUserAccess() {
  assertThatThrownBy(() -> service.deleteUser(1L))
    .isInstanceOf(AccessDeniedException.class);
}

4. カスタム権限評価器のテスト

@Test
void shouldGrantPermissionToOwner() {
  Authentication auth = new UsernamePasswordAuthenticationToken(
    "alice", null, List.of(new SimpleGrantedAuthority("ROLE_USER"))
  );
  Document doc = new Document(1L, "Test", new User("alice"));

  boolean result = evaluator.hasPermission(auth, doc, "WRITE");
  assertThat(result).isTrue();
}

5. セキュリティがアクティブであることを検証

テストが予期せず成功する場合は、セキュリティが強制されていることを確認するためにこのアサーションを追加します：

@Test
void shouldRejectUnauthorizedWhenSecurityEnabled() {
  assertThatThrownBy(() -> service.deleteUser(1L))
    .isInstanceOf(AccessDeniedException.class);
}

クイックリファレンス

アノテーション	説明	例
@PreAuthorize	呼び出し前の認可	@PreAuthorize("hasRole('ADMIN')")
@PostAuthorize	呼び出し後の認可	@PostAuthorize("returnObject.owner == authentication.name")
@Secured	シンプルなロールベースセキュリティ	@Secured("ROLE_ADMIN")
@RolesAllowed	JSR-250 標準	@RolesAllowed({"ADMIN", "MANAGER"})
@WithMockUser	テストアノテーション	@WithMockUser(roles = "ADMIN")

例

基本的な @PreAuthorize テスト

@Service
public class UserService {
  @PreAuthorize("hasRole('ADMIN')")
  public void deleteUser(Long userId) {
    // delete logic
  }
}

// Test
@Test
@WithMockUser(roles = "ADMIN")
void shouldAllowAdminToDeleteUser() {
  assertThatCode(() -> service.deleteUser(1L))
    .doesNotThrowAnyException();
}

@Test
@WithMockUser(roles = "USER")
void shouldDenyUserFromDeletingUser() {
  assertThatThrownBy(() -> service.deleteUser(1L))
    .isInstanceOf(AccessDeniedException.class);
}

式ベースセキュリティテスト

@PreAuthorize("#userId == authentication.principal.id")
public UserProfile getUserProfile(Long userId) {
  // get profile
}

// For custom principal properties, use @WithUserDetails with a custom UserDetailsService
@Test
@WithUserDetails("alice")
void shouldAllowUserToAccessOwnProfile() {
  assertThatCode(() -> service.getUserProfile(1L))
    .doesNotThrowAnyException();
}

検証のヒント: セキュリティテストが予期せず成功する場合は、テスト設定で @EnableMethodSecurity がアクティブであることを確認してください — アノテーションが不足していると、すべての @PreAuthorize チェックが黙黙にバイパスされます。

基本的なパターンについては references/basic-testing.md を、複雑な式とカスタム評価器については references/advanced-authorization.md を参照してください。

ベストプラクティス

1. @WithMockUser を使用するで認証ユーザーコンテキストを設定
2. 各セキュリティルールについて許可と拒否の両方をテストする
3. 異なるロールでテストしてロールベース判定を検証
4. 式ベースセキュリティを包括的にテストする
5. 外部依存関係をモックする（権限評価器など）
6. 匿名アクセスを認証済みアクセスと別々にテストする
7. @EnableGlobalMethodSecurity を設定で使用してメソッドレベルセキュリティを有効化

よくある落とし穴

• テスト設定でメソッドセキュリティを有効化し忘れ
• 許可と拒否の両方のシナリオをテストしない
• 認可ロジックではなくフレームワークコードをテストしている
• テストで null 認証を処理していない
• 認証と認可テストを不必要に混在させている

制約と警告

• メソッドセキュリティはプロキシが必須: @PreAuthorize はプロキシ経由で機能し、直接メソッド呼び出しはセキュリティをバイパスします
• @EnableGlobalMethodSecurity: @PreAuthorize、@Secured が動作するために有効化する必要があります
• ロールプレフィックス: Spring が自動的に "ROLE_" プレフィックスを追加します。hasRole('ROLE_ADMIN') ではなく hasRole('ADMIN') を使用します
• 認証コンテキスト: セキュリティコンテキストはスレッドローカルです。非同期テストに注意してください
• @WithMockUser の制限: シンプルな Authentication を作成します。複雑な認証シナリオはカスタム設定が必要です
• SpEL 式: @PreAuthorize の複雑な SpEL はデバッグが難しい場合があります。十分にテストしてください
• パフォーマンスへの影響: メソッドセキュリティはオーバーヘッドを追加します。レイヤー境界でのセキュリティを検討してください

参考資料

セットアップと設定

• references/setup.md - Maven/Gradle 依存関係とセキュリティ設定

テストパターン

• references/basic-testing.md - @PreAuthorize、@Secured、MockMvc テスト、パラメータ化テストの基本パターン

高度なトピック

• references/advanced-authorization.md - 式ベースの認可、カスタム権限評価器、SpEL 式

完全な例

• references/complete-examples.md - 手動セキュリティから宣言的セキュリティへの移行を示すビフォー/アフター例