测试-http接口测试点

MilgGtery

前言
2015年开始接触QA这个行业，从实习到正式入职，一直都在Qunar的QA岗位上。回顾这两年多的工作经历（中间回学校一段时间），虽然做了许多自认为很高大上的东西，但是晋升答辩中被问到的许多基础问题，却成了自己最薄弱的一项。所以现在更想把更多的经历去放到基础知识的巩固整理上，将自己的知识形成体系，树立自己的方法论。

答辩中被问到：给你一个dubbo接口，如何进行测试？这个问题在答辩前自己也进行了整理相关的wiki，从配置、代码、系统等多角度都进行了测试点的总结，但是答辩中回答的也不是很流畅，抛开因为当时紧张的原因，其实最根本的还是自己的方法论并不是特别完整，还需要进一步的巩固。所有出于这个原因的考虑，想从http、rpc、mq三个角度去总结相关测试点。是否还要总结数据库相关的测试点，这个以后再考虑。


checklist
checklist对QA来说一定不陌生，我们做事之前都可以写一个checklist，来减少我们所犯的错误。
那么对于一个http接口又有哪些check点呢？

• 功能
• 性能
• 并发
• 日志
• 监控
• 安全
• 系统结构
  

以上是我能想的一些类别，欢迎各大牛随时补充。


1.功能
这部分我们必须实现产品提出的所有需求点，如果不能实现，必须在需求阶段就沟通好。
这里跟多的是QA对业务的理解，能够考虑到各种业务情景，并且特别要关注边界测试点。


2.性能
性能的质量是需要开发进行保证的，对于QA而言我们仅仅是发现其中的性能问题。我们的手段你会第一时间想到压测，但是在Qunar这种快节奏的公司而言，并且我所负责的是售后相关的业务，本身的性能问题就不多，所以更多的是通过code diff进行发现（Qunar的测试开始于diff代码，开发需要给QA讲代码，QA会通过代码发现bug、增加测试点等），根据diff指出常见的性能问题。
这里我们要关注http接口的

qps是多少？
接口响应的平均时间与最大时间？
会不会因为其他因数有所变化？
新接口的上线会不会影响现有功能的性能？


3.并发
是否涉及到并发问题
是否需要加锁


4.日志

• 入参
• 出参
• 异常堆
• 便于查询的业务日志
  

5.监控

• 访问总数
• 异常
• 时间
• 业务成功
• 业务失败
• 特殊要求
  

6.安全
安全其实要分的东西就很多种了

• - 协议的选择：http or https
• - 业务权限：登入权限、操作权限、登入过期时间
• - 敏感信息：特殊信息的加密包括日志、参数、数据库存储
• - 请求类型：get or post
• - ip白名单：白名单是网关出口ip，并不是工程所在ip
• - sql注入
• - js注入
• - CSRF
• - 解码
  

7.系统结构
这部分其实是最难的，因为要考虑到系统整体的架构。许多公司都会选择ng作为反向代理服务器，这里就要考虑相关配置；如果是前后端分离，rpc服务化，又要考虑调用链的问题。

• - 接口调用链的超时处理
• - 异常降级处理
• - 是否幂等
• - 是否影响主流程
• - 是否无缝上线