No meu caso eu verifico as permissões apenas nos controllers, então isso é testado funcionalmente mesmo.
Já quando preciso em algum service acessar dados do usuário logado, uso um mock do SpringSecurityService
O que tem a dizer desta abordagem Kico?
Oi Magno,
no caso, o ideal é que quem verifique as permissões que você possua seja o Spring Security, e não seu código, pois você está na prática executando uma tarefa que o Spring Security já estava realizando para você.
Eu me expressei mal! Quem verifica é o spring security, eu apenas anoto os controllers
Opa Magno, entendi.
É, no caso dos serviços, eu acabo usando bastante também, pois sempre há uma funcionalidade ou outra que conta com o usuário atualmente autenticado.
Agora, uma dica interessante de implementação é, ao invés de usar os seus serviços usando sempre o Spring Security, simplesmente passar como um dos parâmetros o usuário que irá realizar a operação também: ajuda DEMAIS a simplificar os testes.