Playwright + Python で認証フローAPIテストを自動化する方法｜トークン取得・CRUD・セキュリティ検証

📌 この記事はこんな方におすすめ

• PlaywrightのAPIRequestContextを使ったAPIテストを始めたい方
• 認証フロー（トークン取得・付与・拒否）のテスト実装に興味がある方
• pytestのfixtureを活用してテストデータを効率的に管理したい方
• REST APIのCRUD操作（POST・PUT・DELETE）を自動テストしたい方

✅ この記事を読むとわかること

• PlaywrightのAPIRequestContextでAPIテストを実装する方法
• 認証トークンをfixtureで管理してテスト間で共有するパターン
• GET/POST/PUT/DELETE の各HTTPメソッドのテスト実装
• 認証なしアクセスを正しく拒否することの自動テスト

# Playwright + pytestのインストール
pip install playwright pytest pytest-playwright

# Playwrightのブラウザをインストール（APIテストはブラウザ不要だが念のため）
playwright install

project/
├── pytest.ini          # ← ここに置く
├── test_auth_api.py
└── report.html         # ← 実行後に自動生成される

[pytest]
addopts = --html=report.html --self-contained-html

# pytest.iniがあれば追加オプション不要で自動的にHTMLレポートが生成される
pytest test_auth_api.py -v -s

# 実行後、同フォルダに report.html が生成される
# ブラウザで開くとテスト結果が一覧で確認できる

# STEP 2：ローカルサーバーを起動（report.htmlがあるフォルダで実行）
python -m http.server 8080

# 起動後、ターミナルに以下のようなメッセージが表示される
# Serving HTTP on 0.0.0.0 port 8080 (http://0.0.0.0:8080/) ...

# STEP 3：ブラウザでこのURLを開く
localhost:8080/report.html

# base_urlを指定してAPIRequestContextを作成
request_context = playwright.request.new_context(
    base_url="https://restful-booker.herokuapp.com"
)

# 以降はパスだけでリクエストを送れる
response = request_context.get("/booking")

response = request_context.post(
    "/auth",
    data={"username": "admin", "password": "password123"}
)

# レスポンスJSONからトークンを取得
token = response.json()["token"]
print(token)  # → "abc123xyz..."

# ✅ Cookie方式（今回のRestful Bookerで使用）
headers = {"Cookie": f"token={token}"}

# Bearer方式（一般的なREST APIで多い）
# headers = {"Authorization": f"Bearer {token}"}

# GETリクエスト（認証ヘッダー付き）
response = request_context.get(
    "/booking/1",
    headers={"Cookie": f"token={token}"}
)

# ステータスコードの検証
assert response.status == 200, f"期待値200に対して{response.status}が返りました"

# レスポンスボディの検証
body = response.json()
assert body["firstname"] == "Taro", "firstnameが期待値と異なります"

@pytest.fixture(scope="session")
def api_request_context(playwright: Playwright) -> APIRequestContext:
    context = playwright.request.new_context(base_url=BASE_URL)
    yield context
    context.dispose()  # テスト終了後に自動でリソースを解放

@pytest.fixture(scope="session")
def auth_token(api_request_context: APIRequestContext) -> str:
    response = api_request_context.post(
        "/auth",
        data={"username": USERNAME, "password": PASSWORD},
    )
    assert response.status == 200, "トークン取得に失敗しました"
    token = response.json().get("token")
    assert token, "レスポンスにtokenが含まれていません"
    return token

@pytest.fixture(scope="session")
def booking_id(api_request_context: APIRequestContext, auth_token: str) -> int:
    response = api_request_context.post(
        "/booking",
        headers={"Content-Type": "application/json", "Accept": "application/json"},
        data="""{
            "firstname": "Taro",
            "lastname": "Yamada",
            "totalprice": 12000,
            "depositpaid": true,
            "bookingdates": {
                "checkin": "2025-01-01",
                "checkout": "2025-01-05"
            },
            "additionalneeds": "Breakfast"
        }""",
    )
    assert response.status == 200
    booking_id = response.json().get("bookingid")
    assert booking_id, "予約IDが取得できませんでした"
    return booking_id

def test_tc01_login_success(api_request_context: APIRequestContext):
    """TC01: 正しい認証情報でトークンが取得できること"""
    response = api_request_context.post(
        "/auth",
        data={"username": USERNAME, "password": PASSWORD},
    )

    assert response.status == 200, f"ステータスコードが200ではありません: {response.status}"

    body = response.json()
    assert "token" in body, "レスポンスにtokenが含まれていません"
    assert len(body["token"]) > 0, "トークンが空です"

    print(f"\n✅ TC01 PASS | Token取得成功: {body['token']}")

def test_tc02_login_failure(api_request_context: APIRequestContext):
    """TC02: 誤ったパスワードでトークンが発行されないこと"""
    response = api_request_context.post(
        "/auth",
        data={"username": USERNAME, "password": "wrongpassword"},
    )

    assert response.status == 200, f"ステータスコードが200ではありません: {response.status}"

    body = response.json()
    assert "token" not in body, "誤ったパスワードなのにトークンが返されました"
    assert body.get("reason") == "Bad credentials", (
        f"エラーメッセージが期待値と違います: {body.get('reason')}"
    )

    print(f"\n✅ TC02 PASS | 認証失敗を正しく検出: {body}")

def test_tc03_create_booking_with_token(
    api_request_context: APIRequestContext, auth_token: str, booking_id: int
):
    """TC03: 認証済みトークンで予約が作成できること"""
    assert booking_id > 0, "予約IDが正しくありません"

    print(f"\n✅ TC03 PASS | 予約作成成功 (BookingID: {booking_id})")

def test_tc04_update_booking_with_token(
    api_request_context: APIRequestContext, auth_token: str, booking_id: int
):
    """TC04: 認証済みトークンで予約が更新できること"""
    response = api_request_context.put(
        f"/booking/{booking_id}",
        headers={
            "Content-Type": "application/json",
            "Accept": "application/json",
            "Cookie": f"token={auth_token}",  # トークンをCookieヘッダーで渡す
        },
        data="""{
            "firstname": "Hanako",
            "lastname": "Yamada",
            "totalprice": 15000,
            "depositpaid": false,
            "bookingdates": {
                "checkin": "2025-02-01",
                "checkout": "2025-02-07"
            },
            "additionalneeds": "Dinner"
        }""",
    )

    assert response.status == 200, f"更新に失敗しました: {response.status}"

    body = response.json()
    assert body.get("firstname") == "Hanako", "firstnameが更新されていません"
    assert body.get("totalprice") == 15000, "totalpriceが更新されていません"

    print(f"\n✅ TC04 PASS | 予約更新成功: {body}")

def test_tc05_delete_booking_with_token(
    api_request_context: APIRequestContext, auth_token: str, booking_id: int
):
    """TC05: 認証済みトークンで予約が削除できること"""
    response = api_request_context.delete(
        f"/booking/{booking_id}",
        headers={"Cookie": f"token={auth_token}"},
    )

    assert response.status == 201, f"削除に失敗しました: {response.status}"

    print(f"\n✅ TC05 PASS | 予約削除成功 (BookingID: {booking_id})")

def test_tc06_delete_booking_without_token(
    api_request_context: APIRequestContext, booking_id: int
):
    """TC06: トークンなしで削除リクエストを送ると拒否されること"""
    # TC05で削除済みなので同IDで再度試みる（認証エラーを確認）
    response = api_request_context.delete(
        f"/booking/{booking_id}",
        headers={},  # Cookieなし（認証情報を渡さない）
    )

    assert response.status == 403, (
        f"トークンなしで削除できてしまいました: {response.status}"
    )

    print(f"\n✅ TC06 PASS | 未認証アクセスを正しく拒否: status={response.status}")

# 通常実行
pytest test_auth_api.py -v

# print出力も表示する場合
pytest test_auth_api.py -v -s

📖 関連記事

• 【Playwright】SauceDemoでE2Eテストを自動化する方法（初心者向け）
• 【Selenium】ログインフォームのバリデーションテストを自動化する方法
• テスト自動化で失敗しない5つの設計原則

📋 この記事のまとめ

• PlaywrightのAPIRequestContextはブラウザ不要で高速なAPIテストが書ける
• 認証トークンは scope="session" のfixtureで管理することで全テストで共有できる
• POST・PUT・DELETEの各HTTPメソッドの実装パターンを習得できた
• 異常系（誤パスワード）・セキュリティ（トークンなし拒否）のテストも自動化できる
• APIによってステータスコードの仕様が異なるため、必ずAPIドキュメントを確認する

PlaywrightはE2EテストだけでなくAPIテストにも対応しています。E2EとAPIテストを同じフレームワークで統一できるのも大きなメリットです。