JUnit中模拟Spring Security认证用户的核心是让MockMvc上下文直接拥有合法用户，而非模拟登录过程；常用@WithMockUser注解自动注入Authentication，默认user/password/USER角色，可指定用户名与多角色；@WithAnonymousUser用于测试未登录场景；SecurityMockMvcRequestPostProcessors支持精细控制认证细节；测试Session依赖逻辑需配合MockHttpSession或手动设置SPRING_SECURITY_CONTEXT。
在 JUnit 单元测试中结合 Spring Security 模拟认证用户，核心是绕过真实登录流程，让测试能直接以指定身份（如角色、权限、用户名）发起受保护接口的请求。关键不在于“造一个登录过程”，而在于“告诉 MockMvc 当前上下文里已经有一个合法用户”。
用 @WithMockUser 注解快速模拟登录态
这是最轻量、最常用的方式，适合多数场景。它会自动创建一个 Authentication 对象并注入到 SecurityContext 中，无需配置真实用户数据源。
- 默认模拟用户名为
user，密码为password，角色为USER - 可显式指定：
@WithMockUser(username = "admin", roles = "ADMIN") - 支持多个角色：
@WithMockUser(roles = {"USER", "ADMIN"}) - 搭配
@WebMvcTest或@SpringBootTest(webEnvironment = WebEnvironment.MOCK)使用效果最佳
用 @WithAnonymousUser 测试未登录场景
当需要验证“未认证用户访问受限接口是否被拒绝”时，这个注解比手动清空上下文更简洁可靠。
- 它会确保
SecurityContext中没有Authentication，即处于完全匿名状态 - 适用于测试
.permitAll()、.denyAll()或401/403响应逻辑 - 和
@WithMockUser互斥，不能同时使用
用 SecurityMockMvcRequestPostProcessors 手动注入认证信息
适合需要精细控制认证细节的场景，比如模拟带自定义 GrantedAuthority、特定 principal 类型，或复用已有测试用户对象。
- 常见写法：
mockMvc.perform(get("/api/profile").with(mockUser("test").authorities("SCOPE_read", "ROLE_USER"))) - 也可模拟已登录的
Authentication实例：.with(authentication(auth)) - 配合
MockMvcBuilders.webAppContextSetup(...).apply(springSecurity()).build()初始化时启用安全支持
测试带 Cookie 或 Session 的授权逻辑
如果项目启用了基于 session 的认证（非 JWT），且接口依赖 Cookie 中的 JSESSIONID，需额外处理。
- 用
MockHttpSession创建并传递 session：mockMvc.perform(get("/api/dashboard").session(session)) - 若需模拟已登录用户的 session，可在
@WithMockUser基础上，通过.sessionAttr("SPRING_SECURITY_CONTEXT", context)手动设置 - 注意：默认
@WebMvcTest不加载完整 SecurityFilterChain，如需完整过滤器链行为，改用@SpringBootTest + @AutoConfigureMockMvc
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
