安全测试中的越权用例矩阵

2024年5月记录，分类「安全测试」。这篇按当时的测试现场整理，重点放在目标、动作和可复用的检查点。

矩阵怎么画

越权测试不能只换一个 token 试试。比较稳的方式是先画角色、租户、组织、数据归属矩阵，再逐类覆盖。

我当时想确认的不是工具能不能跑，而是这个点能不能稳定地变成测试资产。

账号准备

• 准备同角色不同租户、上下级角色、禁用账号三类账号。
• 详情、列表、导出、批量操作都要测。
• Body、URL、Header 里的对象 id 都要尝试篡改。

A租户用户 -> A租户订单: 允许
A租户用户 -> B租户订单: 403
禁用账号 -> 任意

阅读全文

k6压测接口：阈值、阶段和结果判断

2024年4月记录，分类「性能测试」。这里不追求大而全，主要记录一个测试点从发现到落地的过程。

脚本目标

k6 写压测脚本时，我最看重 thresholds 和 stages。没有阈值的压测只是跑了一遍，有阈值才知道能不能过。

对测试来说，最后要落到可复现、可验证、可交接，文章也是按这个思路写的。

阶段设计

• 用 stages 模拟爬升、稳定、回落，不只打一档并发。
• 给 http_req_duration、http_req_failed 设置明确阈值。
• 把业务断言写进 check，避免错误响应混进成功统计。

export const options =

阅读全文

Kubernetes临时测试环境：命名空间和资源清理

2024年3月记录，分类「Kubernetes」。这篇更像工作笔记，记录的是一次问题拆解和复用清单。

临时环境的目标

临时测试环境最怕开了没人关。Kubernetes 里我会优先用 namespace 隔离，并给资源打标签，方便清理和统计成本。

记录这篇的目的，是让下次遇到同类问题时少走一轮弯路。

资源隔离

• 每个需求或分支使用独立 namespace。
• Deployment、Service、ConfigMap、Secret 都打统一 label。
• 设置过期时间，定时任务清理长时间不用的环境。

kubectl create names

阅读全文

Selenium 4 BiDi能给自动化测试带来什么

2024年2月记录，分类「自动化测试」。内容按测试执行视角整理，尽量把背景、操作和验收口径讲清楚。

我关注的点

Selenium 4 BiDi 对测试最有用的地方，是能更方便地观察浏览器日志、网络事件和页面行为，而不只是操作元素。

我更关注它在真实提测流程里怎么落地，而不是单独演示一个命令或脚本。

可用场景

• 捕获 console error，用来辅助判断前端异常。
• 关注关键接口的请求和响应状态。
• 把浏览器事件和用例步骤关联到报告里。

logs = driver.get_log("browser")
errors 

阅读全文

pytest-xdist并发执行时的数据隔离

2024年2月记录，分类「pytest」。这是一篇偏实战的记录，保留了当时的判断过程和后续沉淀。

并发后暴露的问题

xdist 能缩短执行时间，也会把共享数据问题一次性暴露出来。账号、订单号、缓存 key、临时文件都需要隔离。

这类问题如果只写结论，过一段时间就很难复用，所以我把判断依据也留了下来。

隔离策略

• 用 worker_id 给测试数据加后缀。
• 每个 worker 使用独立账号池或独立租户。
• teardown 失败时记录残留数据，方便清理。

@pytest.fixture
def unique_user(worker_id):
  

阅读全文

Python 3.12到3.13：测试脚本升级注意点

2024年1月记录，分类「Python」。这篇按当时的测试现场整理，重点放在目标、动作和可复用的检查点。

升级前

Python 小版本升级看起来不大，但测试脚本依赖的库、虚拟环境、类型提示和弃用 API 都可能受影响。

整理时我特意把输入、动作、观察点和风险拆开，方便后面补用例。

兼容性检查

• 先锁定 requirements 和当前 Python 版本，留出可回退环境。
• 用 py_compile 和 pytest 跑基础兼容检查。
• 重点看 requests、pytest、playwright、数据库驱动这些依赖。

python3.1

阅读全文

线上流量回放构建回归集的注意事项

2023年12月记录，分类「接口测试」。这里不追求大而全，主要记录一个测试点从发现到落地的过程。

为什么回放

线上流量回放适合发现真实用户路径里的兼容问题，但不能直接把生产请求拿来跑。脱敏、过滤和幂等处理必须先做好。

我当时想确认的不是工具能不能跑，而是这个点能不能稳定地变成测试资产。

数据处理

• 过滤写操作或改造成影子环境里的安全请求。
• 对用户信息、手机号、证件号做脱敏。
• 回放结果按状态码、业务码、响应结构和耗时对比。

过滤规则:
- 写接口转影子库
- 用户标识脱敏
- 幂等键重新生成

回放判断

• 不会污染生产或共享测试数据。
• 回放失败能定位到接

阅读全文

Pact契约测试：让前后端联调少一点猜测

2023年11月记录，分类「接口测试」。这篇更像工作笔记，记录的是一次问题拆解和复用清单。

契约解决什么

前后端联调很多争议来自字段理解不一致。Pact 这类契约测试适合把消费者期望固定下来，让接口变化提前暴露。

对测试来说，最后要落到可复现、可验证、可交接，文章也是按这个思路写的。

怎么维护

• 由消费方定义需要的字段、类型和状态码。
• 服务方在 CI 中验证契约，避免字段变更悄悄上线。
• 契约失败时先判断是合理变更还是兼容性问题。

provider.addInteraction({
  state: 'order exists',

阅读全文

Playwright Trace Viewer定位前端偶现失败

2023年10月记录，分类「Playwright」。内容按测试执行视角整理，尽量把背景、操作和验收口径讲清楚。

为什么看trace

前端偶现失败只看截图经常不够。Trace Viewer 能把 DOM、请求、控制台、操作步骤串起来，适合排查偶发等待和接口慢导致的问题。

记录这篇的目的，是让下次遇到同类问题时少走一轮弯路。

保留哪些信息

• CI 中失败用例保留 trace，成功用例不长期保存。
• 定位时先看 action 前后的 DOM 和网络请求。
• 把前端 console 错误和后端 traceId 一起贴进缺陷。

npx p

阅读全文

postman变量使用技巧

2023年9月记录，分类「postman」。这是一篇偏实战的记录，保留了当时的判断过程和后续沉淀。

变量层级

Postman 变量看着简单，实际很容易因为环境变量、集合变量、全局变量混用导致请求跑偏。我这篇主要记录自己的分层习惯。

我更关注它在真实提测流程里怎么落地，而不是单独演示一个命令或脚本。

常见写法

• host、tenant、账号放环境变量。
• token、订单号、流水号放集合变量。
• 调试临时值用本地变量，不提交到团队集合。

pm.collectionVariables.set("order_id", pm.response.json

阅读全文