中间件的测试策略

中间件是Express框架的核心组成部分，负责处理请求和响应的生命周期。测试中间件需要覆盖功能、边界条件和集成场景，确保其行为符合预期。以下从单元测试、集成测试和工具链等角度展开具体策略。

单元测试：隔离中间件逻辑

对单个中间件函数进行独立测试，使用模拟请求和响应对象。通过sinon或jest创建spy/stub，验证中间件是否调用next()或修改请求对象：

const { expect } = require('chai');
const sinon = require('sinon');
const authMiddleware = require('./middleware/auth');

describe('Auth Middleware', () => {
  it('应拒绝无token的请求', () => {
    const req = { headers: {} };
    const res = { status: sinon.stub().returnsThis(), json: sinon.spy() };
    const next = sinon.spy();
    
    authMiddleware(req, res, next);
    expect(res.status.calledWith(401)).to.be.true;
    expect(next.notCalled).to.be.true;
  });

  it('应允许有效token通过', () => {
    const req = { headers: { authorization: 'Bearer valid.token' } };
    const next = sinon.spy();
    
    authMiddleware(req, {}, next);
    expect(next.calledOnce).to.be.true;
  });
});

关键测试点包括：

• 请求头处理
• 错误响应格式
• next()调用条件
• 上下文对象修改（如req.user注入）

集成测试：验证中间件链

使用supertest模拟完整HTTP请求，测试多个中间件的组合行为。重点检查中间件执行顺序和响应传递：

const request = require('supertest');
const express = require('express');
const app = express();

app.use(express.json());
app.use(authMiddleware);
app.get('/protected', (req, res) => res.sendStatus(200));

describe('中间件集成', () => {
  it('应按顺序执行中间件链', async () => {
    const response = await request(app)
      .get('/protected')
      .set('Authorization', 'invalid.token');
    
    expect(response.status).to.equal(403);
  });

  it('应正确处理错误中间件', async () => {
    app.use((err, req, res, next) => res.status(500).send('Custom error'));
    const response = await request(app).get('/unhandled-route');
    expect(response.text).to.include('Custom error');
  });
});

典型场景包括：

• 错误处理中间件的捕获范围
• 路由级中间件的路径匹配
• 响应时间中间件的时序控制

模拟复杂依赖

对于依赖数据库或外部服务的中间件，使用nock模拟HTTP请求，或内存数据库替代真实连接：

const nock = require('nock');
const { MongoMemoryServer } = require('mongodb-memory-server');

before(async () => {
  const mongod = await MongoMemoryServer.create();
  process.env.DB_URI = mongod.getUri();
});

it('应调用第三方API', async () => {
  nock('https://api.service.com')
    .get('/validate')
    .reply(200, { valid: true });

  const response = await request(app)
    .post('/verify')
    .send({ token: 'external' });
  
  expect(response.body).to.have.property('verified');
});

常见依赖处理方案：

• 使用proxyquire替换模块依赖
• 预置Redis数据容器
• 模拟OAuth授权流程

性能与安全测试

通过负载测试验证中间件性能瓶颈，使用artillery进行压力测试：

config:
  target: "http://localhost:3000"
  phases:
    - duration: 60
      arrivalRate: 50
scenarios:
  - flow:
      - get:
          url: "/api"
          headers:
            Authorization: "Bearer test"

安全测试重点包括：

• 注入攻击防护（SQL/XSS）
• 速率限制中间件的有效性
• CORS头部的正确配置
• 敏感信息过滤（如helmet中间件）

测试覆盖率与持续集成

配置nyc收集覆盖率，结合CI流程实现自动化测试：

{
  "scripts": {
    "test": "nyc mocha",
    "coveralls": "nyc report --reporter=text-lcov | coveralls"
  }
}

关键指标包括：

• 中间件分支覆盖率
• 错误处理路径覆盖
• 异步操作超时阈值
• 内存泄漏检测