全部文章
这里按时间收录 QA‑Lab 的所有测试笔记。可以从专题进入，也可以按标签查找你关心的内容。
自动化测试框架选型与分层策略
用可量化的选型维度、五套主流框架对比、四层架构代码与 ROI 公式，回答“该用什么、怎么分层、先做哪一步”。
接口Mock与测试数据构造
从 WireMock stub、pytest 请求拦截、monkeypatch 到 Pact 契约验证，附可直接运行的代码、Mock 漂移事故复盘与测试数据构造/清理方案。
DevSecOps与安全测试左移
从威胁建模到 DAST 的流水线卡点、可复制的 GitHub Actions 配置、门禁分级与误报治理，附三个落地上线即失败的真实原因。
测试报告怎么写才有决策价值
结论先行的一页纸结构、真实版本报告骨架与节选、指标口径与分母陷阱、图表选择表、"不建议上线"的写法与可复制模板。
接口自动化持续集成与Allure报告
GitHub Actions / Jenkins 两套可运行配置，解决服务依赖、并行分片、Allure 历史与密钥管理。
Locust压测脚本入门
Locust 2.x 实战：HttpUser 与 session 复用、constant_throughput 定速、事件钩子采集自定义指标、worker 数据分片、分布式与端口耗尽的排查。
敏捷团队中的测试节奏与准入准出
双周迭代的逐日测试排期、可量化的准入准出、提测单与 Jenkins 门禁、回归范围脚本、缺陷收敛曲线读法、hotfix 与环境冲突处理。
Playwright入门与对比Selenium
自动等待的真实语义、登录态复用、网络拦截、Trace 复盘与分片执行，附可直接跑的 pytest 配置。
移动端App测试要点
从安装降级、权限二次拒绝、进程死亡恢复到弱网中断、崩溃符号化，按 Android 14 与 iOS 17 的真实行为给出命令、报错与判定标准。
性能瓶颈定位：CPU、内存、IO与GC
按 CPU、内存、磁盘、网络、GC、数据库、缓存七条线定位瓶颈，附命令、判据与真实案例。
业务逻辑漏洞测试清单
支付金额篡改、优惠券叠加、验证码与找回密码、幂等与并发超卖的真实攻击链，附复现脚本、判定证据与 Java 修复代码。
Java代码审计入门
以 Source-Sink 为主线审计 Java 项目：命令注入、SQL 拼接、反序列化、XXE、路径穿越、SpEL 的真实代码与修复，附 Semgrep/CodeQL 规则与 PoC 验证方法。
质量度量：缺陷密度、逃逸率与DORA
缺陷密度（KLOC/功能点）、逃逸率、DORA 四项的定义与统计口径，附 8 周示例数据、口径失真案例和从 JIRA CSV 计算指标的 Python 脚本。
SSRF与文件上传漏洞测试
SSRF 的服务端代码根因、IP 黑名单绕过清单、gopher 打 Redis 的完整链路；文件上传的后缀解析、内容检测绕过与 Nginx/Tomcat 解析复现。
接口自动化数据管理与环境隔离
接口自动化的数据工厂、清理钩子、xdist 并行隔离、环境配置矩阵与"本地过 CI 挂"的逐项排查，附可直接用的 fixture 代码。
LoadRunner场景设计与SLA分析
Controller 手动/面向目标场景的真实参数语义，Pacing 与思考时间的组合算法，集合点、负载生成器、Windows/Linux 计数器，以及 SLA 配置与 Analysis 图表的判读顺序。
H5与小程序测试要点
按 WebView、小程序双容器拆解调试手段、页面栈、setData、分包、支付回调、键盘与隐私接口，附 miniprogram-automator 可运行脚本。
pytest用例组织与数据驱动
pytest 的 fixture 生命周期、conftest 层级、pytest_generate_tests 动态参数化、xdist 并行隔离与失败取证，附可直接用的 pytest.ini 与钩子代码。
JMeter断言与事务控制
业务断言、JSR223 脚本断言与事务控制器的正确写法，解决压测“全绿但业务全错”的问题。
接口鉴权与签名测试
JWT 算法混淆、AK/SK 重放、越权与签名绕过的可复现代码与验证方法。
Wireshark抓包分析入门
用显示过滤器定位 SYN 重传、RST、TLS 握手失败、零窗口与分片问题，附 tcpdump 命令、RT 分解、SSLKEYLOGFILE 解密与 tshark 统计。
CSRF与越权测试
CSRF 的四种可绕过场景与 Token/SameSite/Origin 的逐层验证，越权（水平/垂直/IDOR/租户）的对照实验方法、批量接口漏测点与 Spring Security 修复代码。
兼容性测试矩阵设计
用真实流量数据裁剪浏览器矩阵，拆解 Safari 与 Chrome 的具体渲染差异，并给出 Playwright、BrowserStack、caniuse 的可执行配置。
Burp-Suite实战：代理、重放与扫描
Burp Suite 从装证书到抓不到包的排查、Repeater/Intruder/Turbo Intruder 实操、Android 7+ 证书信任与 SSL Pinning 绕过、Autorize 越权检测的完整流程。
Appscan遇到登录的无法录制的情况
登录含验证码、动态 token、SSO 或前端加密导致 AppScan 录制失败时，用手工会话注入、HAR 导入、多步骤登录与扫描后校验完成扫描的完整流程。
JMeter的JSON提取器设置
从三个真实故障反推 JSON Extractor 的字段语义、JSONPath 写法、作用域与提取开销，附登录→下单的完整关联配置和 Debug Sampler 命令行验证方法。
Java安全编码规范
从输入校验、注入防御到越权与并发，系统梳理 Java 开发中必须掌握的安全编码原则与常见漏洞的修复方式。
LoadRunner将关联的参数写进本地文件
把关联参数安全落盘的完整实现：FILE 指针替代 long 句柄、每 Vuser 独立文件、CSV 转义与 UTF-8 编码、并发写冲突、读回校验，以及旧脚本里四类必崩写法。
pytest+requests接口自动化框架
连接池、超时、重试、日志与并行隔离，搭一个在 CI 里不会“假绿/假红”的接口自动化骨架。
接口自动化断言与JSON-Schema校验
从状态码、业务码到字段类型、Schema 契约与数据库最终一致，给出可复制的分层断言代码和判定标准。
Page-Object模式与框架分层
Page Object 的落地写法：BasePage 等待与重试、组件拆分、页面跳转返回、断言归属、失败自动截图钩子，以及五种把 PO 写坏的反模式。
JMeter分布式压测实践
分布式压测从配置到排错：RMI 端口、hostname 绑定、数据分片与 jtl 合并，附真实报错对照表。
缺陷生命周期与高质量缺陷报告
从缺陷状态机的准入条件、四类非正常关闭的处理，到可复制的报告模板、P0~P3 判定、curl/HAR/logcat/traceId 取证与缺陷密度口径。
SQL注入测试与防御验证
从 MyBatis ${} 到 ORDER BY 注入，给出各数据库 payload、sqlmap 实战参数与 Java 修复代码。
Git+Jenkins自动化测试流水线
从一次提交到 Allure 报告，逐阶段拆解 Jenkins 流水线：真实报错、根因、可直接复制的 Jenkinsfile 与验证命令。
LoadRunner关联技巧与手动关联
从 -26377、-26612、-27257 三个真实报错切入，讲透 Correlation Studio 的边界、web_reg_save_param_ex 的参数语义、动态 token/CSRF 的手动关联步骤与回放调试方法。
信息收集与资产测绘
从子域枚举到 JS 接口提取，给出可复制的命令链、结果去重方法与误报判断。
接口测试用例设计：参数、场景与异常
以下单接口为例，把参数、状态机、幂等、并发与下游异常拆成可判定用例，附 pytest 参数化、JSON Schema 契约校验与漏测清单。
Web自动化中的等待策略与稳定性
六类真实异常、对应的根因与修复代码，包含 Shadow DOM、iframe、下载与 CI 容器参数。
Fiddler抓包与HTTPS解密
Fiddler Classic 的 HTTPS 解密、Android 7+ 系统证书、进程过滤、Composer/AutoResponder/断点/弱网，以及 CONNECT 隧道、证书不受信、HTTP/2 等真实故障的处理。
JMeter参数化：CSV与函数助手
CSV Data Set Config 逐项语义、三种共享模式的真实差异、函数助手的正确用法、分布式下的数据分片，以及 BOM/路径/EOF 等实际报错的处理。
JMeter聚合报告指标解读
从 jtl 原始字段算清楚 TPS、P95 与错误率，识别“平均值陷阱”“错误吞吐”和压测机自瓶颈。
XSS跨站脚本测试与绕过
按 HTML、属性、JS、URL 四种上下文给出 payload 与编码代码，并用 CSP 与 DOMPurify 做纵深防御。
测试左移：需求评审与风险评估
用一段真实退款需求，走完评审准备、七维检查清单、测试点提取、风险矩阵、FMEA/RPN、变更影响分析与评审会时间盒，附可执行命令和产出模板。
性能测试指标体系与容量评估
从平均值陷阱与分位数口径讲起，用利特尔法则推导并发与 TPS，给出单接口基准到混合场景找拐点的完整容量评估流程、四线达标标准、扩容算例与报告骨架。
JMeter线程组与场景设计
线程数、Ramp-up、循环与调度器的真实语义，四类压测场景的参数表，以及集合点、恒定吞吐、阶梯线程组的可复制配置和误用清单。
Selenium环境搭建与元素定位
Selenium 4.x 环境搭建的真实报错与修复、Selenium Manager 与 Chrome for Testing、八种定位的失效边界、iframe/Shadow DOM/新窗口切换与调试技巧。
HTTP接口测试基础与调试
从报文结构、方法幂等、状态码真实语义到 curl 与 Postman 实战，附 415/304/双重编码/gzip/中文文件名等可复现报错与断言代码。
渗透测试流程与授权边界
授权书、RoE、CVSS 定级、证据链与复测标准，把一次渗透测试做成可交付、可追责的工程。
Web功能测试检查清单
按模块拆解 Web 功能测试的执行清单，每项给出操作方法、预期结果与真实缺陷案例，附 curl 与 Playwright 验证脚本。
OWASP-Top-10-2021解读与测试要点
把 OWASP Top 10 2021 的十类风险拆成可复现的请求、可执行的命令和可判定的通过标准，而不是一份名词表。
测试用例设计方法：等价类、边界值与判定表
用「优惠券领取与使用」一条真实需求，把等价类、边界值、判定表、Pairwise、状态迁移完整推到可执行用例表，附命令、代码、报错与覆盖率口径。