Playwright + Python으로 인증 플로우 API 테스트를 자동화하는 방법｜토큰 취득・CRUD・보안 검증

📌 이런 분께 추천합니다

• Playwright의 APIRequestContext를 사용한 API 테스트를 시작하고 싶은 분
• 인증 플로우（토큰 취득·전달·거부）의 테스트 구현에 관심 있는 분
• pytest의 fixture를 활용하여 테스트 데이터를 효율적으로 관리하고 싶은 분
• REST API의 CRUD 조작（POST·PUT·DELETE）을 자동 테스트하고 싶은 분

✅ 이 글을 읽으면 알 수 있는 것

• Playwright의 APIRequestContext로 API 테스트를 구현하는 방법
• 인증 토큰을 fixture로 관리하여 테스트 간에 공유하는 패턴
• GET / POST / PUT / DELETE 각 HTTP 메서드의 테스트 구현
• 인증 없는 접근을 올바르게 거부하는 것을 자동 테스트하는 방법

# Playwright + pytest 설치
pip install playwright pytest pytest-playwright pytest-html

# Playwright 브라우저 설치（API 테스트만이라면 생략 가능）
playwright install

project/
├── pytest.ini          # ← 여기에 둔다
├── test_auth_flow.py
└── report.html         # ← 실행 후 자동 생성된다

[pytest]
addopts = --html=report.html --self-contained-html

# pytest.ini가 있으면 추가 옵션 불필요 — 자동으로 HTML 리포트가 생성된다
pytest test_auth_flow.py -v -s

# STEP 2：로컬 서버를 기동（report.html이 있는 폴더에서 실행）
python -m http.server 8080

# 기동 후 터미널에 다음 메시지가 표시된다
# Serving HTTP on 0.0.0.0 port 8080 ...

# STEP 3：브라우저에서 이 URL을 연다（URL 바에 직접 입력）
localhost:8080/report.html

# base_url을 지정하여 APIRequestContext를 작성
request_context = playwright.request.new_context(
    base_url="https://restful-booker.herokuapp.com"
)

# 이후에는 패스만으로 리퀘스트를 보낼 수 있다
response = request_context.get("/booking")

response = request_context.post(
    "/auth",
    data={"username": "admin", "password": "password123"}
)

# 리스폰스 JSON에서 토큰을 취득
token = response.json()["token"]
print(token)  # → "abc123xyz..."

# ✅ Cookie 방식（이번 Restful Booker에서 사용）
headers = {"Cookie": f"token={token}"}

# Bearer 방식（일반적인 REST API에서 많다）
# headers = {"Authorization": f"Bearer {token}"}

# GET 리퀘스트（인증 헤더 포함）
response = request_context.get(
    "/booking/1",
    headers={"Cookie": f"token={token}"}
)

# 상태 코드 검증
assert response.status == 200, f"기대값 200에 대해 {response.status}가 반환됐습니다"

# 리스폰스 바디 검증
body = response.json()
assert body["firstname"] == "Taro", "firstname이 기대값과 다릅니다"

@pytest.fixture(scope="session")
def api_request_context(playwright: Playwright) -> APIRequestContext:
    context = playwright.request.new_context(base_url=BASE_URL)
    yield context
    context.dispose()  # 테스트 종료 후 자동으로 리소스를 해방

@pytest.fixture(scope="session")
def auth_token(api_request_context: APIRequestContext) -> str:
    response = api_request_context.post(
        "/auth",
        data={"username": USERNAME, "password": PASSWORD},
    )
    assert response.status == 200, "토큰 취득에 실패했습니다"
    token = response.json().get("token")
    assert token, "리스폰스에 token이 포함되어 있지 않습니다"
    return token

@pytest.fixture(scope="session")
def booking_id(api_request_context: APIRequestContext, auth_token: str) -> int:
    response = api_request_context.post(
        "/booking",
        headers={"Content-Type": "application/json", "Accept": "application/json"},
        data="""{
            "firstname": "Taro",
            "lastname": "Yamada",
            "totalprice": 12000,
            "depositpaid": true,
            "bookingdates": {
                "checkin": "2025-01-01",
                "checkout": "2025-01-05"
            },
            "additionalneeds": "Breakfast"
        }""",
    )
    assert response.status == 200
    booking_id = response.json().get("bookingid")
    assert booking_id, "예약 ID를 취득할 수 없었습니다"
    return booking_id

def test_tc01_login_success(api_request_context: APIRequestContext):
    """TC01: 올바른 인증 정보로 토큰이 취득될 것"""
    response = api_request_context.post(
        "/auth",
        data={"username": USERNAME, "password": PASSWORD},
    )

    assert response.status == 200, f"상태 코드가 200이 아닙니다: {response.status}"

    body = response.json()
    assert "token" in body, "리스폰스에 token이 포함되어 있지 않습니다"
    assert len(body["token"]) > 0, "토큰이 비어 있습니다"

    print(f"\n✅ TC01 PASS | Token 취득 성공: {body['token']}")

def test_tc02_login_failure(api_request_context: APIRequestContext):
    """TC02: 잘못된 비밀번호로 토큰이 발급되지 않을 것"""
    response = api_request_context.post(
        "/auth",
        data={"username": USERNAME, "password": "wrongpassword"},
    )

    assert response.status == 200, f"상태 코드가 200이 아닙니다: {response.status}"

    body = response.json()
    assert "token" not in body, "잘못된 비밀번호인데 토큰이 반환됐습니다"
    assert body.get("reason") == "Bad credentials", (
        f"에러 메시지가 기대값과 다릅니다: {body.get('reason')}"
    )

    print(f"\n✅ TC02 PASS | 인증 실패를 올바르게 감지: {body}")

def test_tc03_create_booking_with_token(
    api_request_context: APIRequestContext, auth_token: str, booking_id: int
):
    """TC03: 인증된 토큰으로 예약이 생성될 것"""
    assert booking_id > 0, "예약 ID가 올바르지 않습니다"

    print(f"\n✅ TC03 PASS | 예약 생성 성공 (BookingID: {booking_id})")

def test_tc04_update_booking_with_token(
    api_request_context: APIRequestContext, auth_token: str, booking_id: int
):
    """TC04: 인증된 토큰으로 예약이 업데이트될 것"""
    response = api_request_context.put(
        f"/booking/{booking_id}",
        headers={
            "Content-Type": "application/json",
            "Accept": "application/json",
            "Cookie": f"token={auth_token}",  # 토큰을 Cookie 헤더로 전달
        },
        data="""{
            "firstname": "Hanako",
            "lastname": "Yamada",
            "totalprice": 15000,
            "depositpaid": false,
            "bookingdates": {
                "checkin": "2025-02-01",
                "checkout": "2025-02-07"
            },
            "additionalneeds": "Dinner"
        }""",
    )

    assert response.status == 200, f"업데이트에 실패했습니다: {response.status}"

    body = response.json()
    assert body.get("firstname") == "Hanako", "firstname이 업데이트되지 않았습니다"
    assert body.get("totalprice") == 15000, "totalprice가 업데이트되지 않았습니다"

    print(f"\n✅ TC04 PASS | 예약 업데이트 성공: {body}")

def test_tc05_delete_booking_with_token(
    api_request_context: APIRequestContext, auth_token: str, booking_id: int
):
    """TC05: 인증된 토큰으로 예약이 삭제될 것"""
    response = api_request_context.delete(
        f"/booking/{booking_id}",
        headers={"Cookie": f"token={auth_token}"},
    )

    assert response.status == 201, f"삭제에 실패했습니다: {response.status}"

    print(f"\n✅ TC05 PASS | 예약 삭제 성공 (BookingID: {booking_id})")

def test_tc06_delete_booking_without_token(
    api_request_context: APIRequestContext, booking_id: int
):
    """TC06: 토큰 없이 삭제 리퀘스트를 보내면 거부될 것"""
    # TC05에서 삭제 완료 — 같은 ID로 재시도하여 인증 에러를 확인
    response = api_request_context.delete(
        f"/booking/{booking_id}",
        headers={},  # Cookie 없음（인증 정보를 전달하지 않음）
    )

    assert response.status == 403, (
        f"토큰 없이 삭제할 수 있었습니다: {response.status}"
    )

    print(f"\n✅ TC06 PASS | 미인증 접근을 올바르게 거부: status={response.status}")

# 통상 실행
pytest test_auth_flow.py -v

# print 출력도 표시하는 경우
pytest test_auth_flow.py -v -s

📖 관련 기사

• 【Playwright】SauceDemo로 E2E 테스트를 자동화하는 방법（초보자용）
• 【Selenium】로그인 폼 유효성 검사 테스트를 자동화하는 방법
• 테스트 자동화에서 실패하지 않는 5가지 설계 원칙

📋 이 글의 정리

• Playwright의 APIRequestContext는 브라우저 불필요로 고속인 API 테스트를 작성할 수 있다
• 인증 토큰은 scope="session"의 fixture로 관리함으로써 전체 테스트에서 공유할 수 있다
• POST·PUT·DELETE의 각 HTTP 메서드의 구현 패턴을 습득했다
• 이상계（오류 비밀번호）·보안（토큰 없음 거부）의 테스트도 자동화할 수 있다
• API에 따라 상태 코드의 사양이 다르기 때문에, 반드시 API 문서를 확인한다

Playwright는 E2E 테스트뿐만 아니라 API 테스트에도 대응하고 있습니다. E2E와 API 테스트를 같은 프레임워크로 통일할 수 있는 것도 큰 메리트입니다.