104 lines
3.7 KiB
Go
104 lines
3.7 KiB
Go
|
package middleware
|
|||
|
|
|
|||
|
|
import (
|
|||
|
|
"net/http"
|
|||
|
|
"net/http/httptest"
|
|||
|
|
"strings"
|
|||
|
|
"testing"
|
|||
|
|
|
|||
|
|
"github.com/gin-gonic/gin"
|
|||
|
|
)
|
|||
|
|
|
|||
|
|
// Тесты CORS: разрешённый origin получает точные заголовки, чужой и
|
|||
|
|
// пустой список — ничего, preflight отвечает 204 до авторизации.
|
|||
|
|
|
|||
|
|
// TestParseOrigins — список источников через запятую, мусор отбрасывается.
|
|||
|
|
func TestParseOrigins(t *testing.T) {
|
|||
|
|
cases := []struct {
|
|||
|
|
raw string
|
|||
|
|
want int
|
|||
|
|
}{
|
|||
|
|
{"", 0},
|
|||
|
|
{"http://localhost:3000", 1},
|
|||
|
|
{"http://a.test, http://b.test", 2},
|
|||
|
|
{" http://a.test ,, ,http://b.test ", 2},
|
|||
|
|
}
|
|||
|
|
for _, c := range cases {
|
|||
|
|
if got := ParseOrigins(c.raw); len(got) != c.want {
|
|||
|
|
t.Errorf("ParseOrigins(%q) = %v, want %d origins", c.raw, got, c.want)
|
|||
|
|
}
|
|||
|
|
}
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// newCORSRouter — роутер с CORS и одним эндпоинтом.
|
|||
|
|
func newCORSRouter(allowed ...string) *gin.Engine {
|
|||
|
|
gin.SetMode(gin.TestMode)
|
|||
|
|
r := gin.New()
|
|||
|
|
r.Use(CORS(allowed))
|
|||
|
|
r.GET("/x", func(c *gin.Context) { c.String(http.StatusOK, "ok") })
|
|||
|
|
return r
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// serve выполняет запрос и возвращает запись ответа.
|
|||
|
|
func serve(r *gin.Engine, method, origin string) *httptest.ResponseRecorder {
|
|||
|
|
w := httptest.NewRecorder()
|
|||
|
|
req := httptest.NewRequest(method, "/x", nil)
|
|||
|
|
if origin != "" {
|
|||
|
|
req.Header.Set("Origin", origin)
|
|||
|
|
}
|
|||
|
|
r.ServeHTTP(w, req)
|
|||
|
|
return w
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
func TestCORSAllowedOrigin(t *testing.T) {
|
|||
|
|
r := newCORSRouter("http://localhost:3000")
|
|||
|
|
|
|||
|
|
// Настоящий запрос: заголовок ровно для своего origin + Vary: Origin.
|
|||
|
|
w := serve(r, http.MethodGet, "http://localhost:3000")
|
|||
|
|
if w.Code != http.StatusOK {
|
|||
|
|
t.Fatalf("code = %d, want 200", w.Code)
|
|||
|
|
}
|
|||
|
|
if got := w.Header().Get("Access-Control-Allow-Origin"); got != "http://localhost:3000" {
|
|||
|
|
t.Errorf("Allow-Origin = %q, want the exact origin", got)
|
|||
|
|
}
|
|||
|
|
if !strings.Contains(strings.Join(w.Header()["Vary"], ","), "Origin") {
|
|||
|
|
t.Error("no Vary: Origin — кэши смешают ответы разных источников")
|
|||
|
|
}
|
|||
|
|
if h := w.Header().Get("Access-Control-Allow-Headers"); !strings.Contains(h, "Authorization") {
|
|||
|
|
t.Errorf("Allow-Headers = %q, want Authorization", h)
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// Preflight: 204 и без тела — браузер спрашивает до запроса с токеном.
|
|||
|
|
w2 := serve(r, http.MethodOptions, "http://localhost:3000")
|
|||
|
|
if w2.Code != http.StatusNoContent {
|
|||
|
|
t.Errorf("preflight code = %d, want 204", w2.Code)
|
|||
|
|
}
|
|||
|
|
if m := w2.Header().Get("Access-Control-Allow-Methods"); !strings.Contains(m, "PATCH") {
|
|||
|
|
t.Errorf("Allow-Methods = %q, want PATCH", m)
|
|||
|
|
}
|
|||
|
|
if w2.Body.Len() != 0 {
|
|||
|
|
t.Errorf("preflight body = %q, want empty", w2.Body.String())
|
|||
|
|
}
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
func TestCORSDisallowedOrigin(t *testing.T) {
|
|||
|
|
// Чужой origin в списке разрешённых — заголовков нет, браузер закроет.
|
|||
|
|
r := newCORSRouter("http://localhost:3000")
|
|||
|
|
w := serve(r, http.MethodGet, "http://evil.test")
|
|||
|
|
if got := w.Header().Get("Access-Control-Allow-Origin"); got != "" {
|
|||
|
|
t.Errorf("Allow-Origin for foreign origin = %q, want empty", got)
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// Пустой список (CORS_ORIGINS не задан) — заголовков нет вообще.
|
|||
|
|
r2 := newCORSRouter()
|
|||
|
|
w2 := serve(r2, http.MethodGet, "http://localhost:3000")
|
|||
|
|
if got := w2.Header().Get("Access-Control-Allow-Origin"); got != "" {
|
|||
|
|
t.Errorf("Allow-Origin with empty list = %q, want empty", got)
|
|||
|
|
}
|
|||
|
|
// Запрос без Origin (тот же домен) живёт независимо от списка.
|
|||
|
|
w3 := serve(r2, http.MethodGet, "")
|
|||
|
|
if w3.Code != http.StatusOK {
|
|||
|
|
t.Errorf("same-origin request code = %d, want 200", w3.Code)
|
|||
|
|
}
|
|||
|
|
}
|