Prüfung für HTTP-Header wird von einer ASP.NET MVC-Anwendung zurückgegeben

Question

ich hinzugefügt haben und eine Reihe von Headern aus Sicherheitsgründen entfernt, zwei klassische Strategien in einer MVC-Anwendung mit:

protected void Application_PreSendRequestHeaders(object sender, EventArgs e) 
{ 
    HttpContext.Current.Response.Headers.Remove("X-AspNet-Version"); 
    HttpContext.Current.Response.Headers.Remove("Server"); 
    HttpContext.Current.Response.Headers.Remove("X-AspNetMvc-Version"); 
} 

und über das Web .Config:

<customHeaders> 
    <remove name="X-Powered-By" /> 
    <add name="X-Frame-Options" value="DENY" /> 
</customHeaders> 

Im Moment bin ich mit NUnit gepaart mit RhinoMocks für die Prüfung, FWIW.

Angesichts der Schwierigkeiten mit Mocking HttpContext, was wäre ein guter Weg, um sicherzustellen, dass benutzerdefinierte Header sind vorhanden oder nicht in der HTTP-Antwort für eine der Ansichten, die ich zurückgeben?

Answer 1

Der richtige Weg, um dieses Verhalten zu überprüfen, ist durch einen Komponententest. Der Grund ist ziemlich einfach; Sie versuchen, ein Sicherheitsproblem zu vermeiden. In UT wird nichts dafür sorgen, dass Ihre Komponente dieses Verhalten verwendet. Ich kann Ihnen verschiedene Optionen anbieten (Code-Weben-Tools, öffentliche Methode hinzufügen usw.), um es als UT zu testen, aber IMO ist dies ein klassischer Fall für Integrationstest.

Um Komponententest dieses Verhalten die folgenden Schritte aus:

Heben Sie einen Selbst Host-Server (Self-Host ASP.NET oder OWIN to Self-Host ASP.NET)

Dann Anruf ein Verfahren und behaupten, dass die Antwort enthält nicht die Header:

HttpWebRequest myHttpWebRequest = (HttpWebRequest)WebRequest.Create(url); 
HttpWebResponse myHttpWebResponse = (HttpWebResponse)myHttpWebRequest.GetResponse(); 

Assert.IsFalse(myHttpWebResponse.Headers.ContainsKey("X-Frame-Options"); 
Assert.IsFalse(myHttpWebResponse.Headers.ContainsKey("Server"); 
Assert.IsFalse(myHttpWebResponse.Headers.ContainsKey("X-AspNetMvc-Version"); 
//todo: add logic which read the following parameters from the configuration 
Assert.IsFalse(myHttpWebResponse.Headers.ContainsKey("X-AspNet-Version"); 
Assert.AreEquals("DENY", myHttpWebResponse.Headers["X-Frame-Options"]);