qa-specialized-testing

专项测试能力

核心原则

专项测试不只是会用工具，而是知道测什么、怎么测、测到什么程度算够。

深度要求（参考值）

关键指标：根据系统复杂度调整专项测试深度

复杂度	维度覆盖要求	每维度测试点	说明
简单系统	至少2个维度	5-8个/维度	内部系统/低风险
中等系统	全部3个维度	10-15个/维度	业务系统/中等风险
复杂系统	全部3个维度+深度测试	20-30个/维度	核心系统/高风险

适用范围：本技能仅在你明确要求某个专项测试方向（如性能/安全/兼容性）且已确认测试目标和环境授权时激活。安全测试相关内容必须配合授权声明使用，不得在未获授权的系统上执行。

维度1：性能测试

性能测试类型

├─ 负载测试（Load Testing）
│   ├─ 目标：验证系统在预期负载下的表现
│   ├─ 方法：逐步增加并发，观察性能指标
│   └─ 指标：响应时间、吞吐量、错误率
│
├─ 压力测试（Stress Testing）
│   ├─ 目标：验证系统在极限负载下的表现
│   ├─ 方法：持续增加并发直到系统崩溃
│   └─ 指标：系统极限、崩溃点、恢复能力
│
├─ 稳定性测试（Soak Testing）
│   ├─ 目标：验证系统长时间运行的稳定性
│   ├─ 方法：持续运行24-72小时
│   └─ 指标：内存泄漏、资源消耗、性能退化
│
└─ 尖峰测试（Spike Testing）
    ├─ 目标：验证系统应对突发流量的能力
    ├─ 方法：突然增加并发
    └─ 指标：系统响应、恢复时间、数据一致性

性能指标

核心指标：
├─ 响应时间（Response Time）
│   ├─ P50：50%请求的响应时间
│   ├─ P95：95%请求的响应时间
│   ├─ P99：99%请求的响应时间
│   └─ 目标：P99 < 1秒
│
├─ 吞吐量（Throughput）
│   ├─ TPS：每秒事务数
│   ├─ QPS：每秒查询数
│   └─ 目标：根据业务定义
│
├─ 错误率（Error Rate）
│   ├─ 计算：错误请求数 / 总请求数
│   └─ 目标：< 0.1%
│
└─ 资源使用率
    ├─ CPU使用率：< 80%
    ├─ 内存使用率：< 80%
    ├─ 磁盘IO：< 80%
    └─ 网络IO：< 80%

性能测试工具

├─ JMeter
│   ├─ 优点：功能全面、插件丰富
│   ├─ 缺点：界面复杂、资源消耗大
│   └─ 适用：复杂场景、协议测试
│
├─ Locust
│   ├─ 优点：代码化、分布式
│   ├─ 缺点：需要编程能力
│   └─ 适用：API测试、分布式测试
│
├─ k6
│   ├─ 优点：现代化、CI友好
│   ├─ 缺点：社区较小
│   └─ 适用：现代应用、DevOps
│
└─ wrk
    ├─ 优点：轻量、高效
    ├─ 缺点：功能简单
    └─ 适用：简单压测、快速验证

维度2：安全测试

⚠️ 授权与法律声明：安全测试（尤其是渗透测试）必须获得系统所有者的明确书面授权。 执行前必须确认：

1. 测试目标属于你或已获得明确授权
2. 清楚界定测试范围、目标环境和边界（严禁超出授权范围）
3. 了解并遵守当地网络安全相关法律法规
4. 测试活动不会对业务系统造成影响（建议使用独立测试环境）
5. 使用攻击性工具（Burp Suite/SQLMap 等）仅限于你拥有或明确获授权的系统

安全测试类型

├─ OWASP Top 10
│   ├─ 注入攻击（Injection）
│   ├─ 失效的身份认证（Broken Authentication）
│   ├─ 敏感数据暴露（Sensitive Data Exposure）
│   ├─ XML外部实体（XXE）
│   ├─ 失效的访问控制（Broken Access Control）
│   ├─ 安全配置错误（Security Misconfiguration）
│   ├─ 跨站脚本（XSS）
│   ├─ 不安全的反序列化（Insecure Deserialization）
│   ├─ 使用含有已知漏洞的组件（Vulnerable Components）
│   └─ 不足的日志和监控（Insufficient Logging）
│
├─ 渗透测试
│   ├─ 信息收集：域名、IP、端口
│   ├─ 漏洞扫描：自动化扫描
│   ├─ 漏洞利用：手动验证
│   └─ 报告输出：漏洞报告
│
└─ 代码审计
    ├─ 静态分析：代码扫描
    ├─ 动态分析：运行时检测
    └─ 人工审计：代码Review