qa-api-testing

接口测试专项

核心原则

接口是系统的骨架，接口测试是自动化的基石。

启动方式：用户提出接口测试需求后，按接口类型速查表定位协议特点，启动六维测试方案输出。

深度要求

复杂度	用例数要求	说明
简单接口	接口数×5	单一功能接口
中等接口	接口数×10	多参数接口
复杂接口	接口数×15	多依赖/多状态接口

必须覆盖的6个维度：

维度	占比	说明
功能测试	40%	正向/反向/边界/参数
安全测试	20%	认证/授权/注入
异常测试	15%	超时/重试/降级
性能测试	10%	响应时间/并发
契约测试	10%	接口契约验证
兼容性测试	5%	版本兼容

接口类型速查

不同协议接口各有侧重，以下为推荐测试重点：

接口类型	典型代表	测试重点	协议特点
RESTful	CRUD API、微服务接口	状态码、HTTP方法语义、RESTful规范符合度	无状态、资源导向、Cache
GraphQL	聚合查询、数据中台	查询复杂度、N+1问题、权限细粒度	单一端点、按需查询
gRPC	内部服务通信、高吞吐场景	消息格式、流处理、超时重试	Protobuf、双向流、高性能
WebSocket	实时推送、消息通知	连接管理、心跳、消息顺序	长连接、全双工、有状态

核心流程

1. 功能测试

测试维度：
├─ 正向测试：正常输入返回正确结果
├─ 反向测试：异常输入返回正确错误
├─ 边界测试：边界值处理正确
├─ 参数测试：参数组合覆盖
└─ 业务测试：业务规则验证

测试用例设计：
├─ 入参校验：类型、长度、格式、必填
├─ 返回校验：状态码、响应体、响应头
├─ 业务校验：数据正确性、状态变更
└─ 异常校验：错误码、错误信息

2. 安全测试

测试维度：
├─ 认证测试：Token/Session/OAuth
├─ 授权测试：角色权限、资源访问
├─ 注入测试：SQL注入、XSS、命令注入
├─ 数据安全：敏感数据加密、脱敏
└─ 速率限制：限流、防刷

常见漏洞：
├─ 越权访问：水平越权、垂直越权
├─ 认证绕过：Token伪造、Session固定
├─ 注入攻击：SQL注入、命令注入
└─ 敏感泄露：密码明文、敏感信息暴露

3. 异常测试

测试维度：
├─ 超时场景
│   ├─ 连接超时：TCP连接建立超时
│   ├─ 读取超时：响应数据返回超时
│   └─ 超时重试：超时后的重试行为是否符合预期
│
├─ 重试机制
│   ├─ 幂等性：重复请求是否产生副作用
│   ├─ 退避策略：重试间隔是否合理
│   └─ 重试上限：达到最大重试次数后的行为
│
├─ 故障容错
│   ├─ 降级策略：下游服务异常时是否降级
│   ├─ 熔断机制：连续失败是否触发熔断
│   └─ 限流效果：超出限流阈值时的响应
│
└─ 数据异常
    ├─ 空响应：返回空数据时的处理
    ├─ 部分数据：数据不完整时的处理
    └─ 数据损坏：返回数据格式错误时的处理

4. 性能测试

测试维度：
├─ 响应时间：P50/P95/P99
├─ 并发能力：并发请求处理
├─ 吞吐量：TPS/QPS
├─ 稳定性：长时间运行
└─ 资源消耗：CPU/内存/连接

测试方法：
├─ 基准测试：单请求性能基线
├─ 负载测试：预期负载下表现
├─ 压力测试：极限负载下表现
└─ 波动测试：流量波动下表现

性能基准建议（可配置，无基准时先建基线）：
├─ P95 响应时间 < 500ms（按业务场景调整）
├─ 并发基线：压测确定 TPS 上限，阈值设为上限的 80%
└─ 无历史基准时：先做基准测试建立基线，再断言相对退化 < 20%

5. 契约测试

测试维度：
├─ 消费者驱动
│   ├─ 消费者期望：API是否满足消费者的调用期望
│   ├─ 请求-响应匹配：请求参数和响应结构的匹配
│   └─ 消费者契约集：所有消费者的契约汇总验证
│
├─ 生产者验证
│   ├─ 接口实现验证：实际接口是否符合契约约定
│   ├─ 回归检查：接口变更是否破坏已有契约
│   └─ 版本策略：契约版本管理与兼容性保证
│
└─ 自动化集成
    ├─ CI集成：契约测试是否纳入流水线
    ├─ 变更通知：契约变更时是否通知相关方
    └─ 契约仓库：契约文件是否统一管理