QA‑Lab RSS

订阅更新

QA‑Lab个人知识库更新订阅

把下面的地址添加到 RSS 阅读器

支持 Feedly、Inoreader、NetNewsWire、Follow 等任意阅读器。更新会自动送达，不需要邮箱，也没有算法推荐。

https://qalab.cn/feed_rss_created.xml

按更新时间订阅可用 feed_rss_updated.xml；feed XML 源文件只供程序读取，浏览器不再对它做样式渲染。

最近更新

共 20 篇 · 源更新于 2026-11-10

  1. 能跑通，不等于扛得住：智能体生成代码的验收清单

    页面和功能都正常，人一集中涌进来却连崩两次。从并发模型、连接池、SQL 执行计划三层复盘，给智能体生成的代码列一份能贴进 PR 的验收清单和开环压测脚本。

  2. ZAP baseline 进流水线：登录态、规则和边界

    前面四天都在扫静态的东西，最后一块是跑起来的应用。记下 ZAP baseline 的登录态怎么带、rules.tsv 怎么当门禁、以及范围没划清会出什么事。

  3. SCA 接进流水线后，先解决这三件事

    依赖扫描最容易「一直在扫、从没拦住」。记下 dependency-check 默认门禁值等于没门、NVD 数据源与缓存该怎么配，以及锁文件和可达性对结果的影响。

  4. CodeQL 和 Semgrep 放一条流水线里，别让它们互相替代

    CodeQL 要建库、Semgrep 直接扫源码，输入就不是一回事。记下两者的分工边界、CodeQL 的语言与许可限制，以及多个 SARIF 汇到一处时的 category 与体积上限。

  5. 把团队踩过的坑写成 Semgrep 规则

    注册表规则集扫不出团队反复犯的那个错。从一条能跑的规则写起，记下 semgrep scan 与 semgrep ci 的区别、增量基线为什么总在 CI 里中止、以及 nosemgrep 该怎么管。

  6. SonarQube 质量门禁为什么卡不住 PR

    扫描跑完了、报告也有了，MR 照样能合。把 SonarQube 门禁真正接进流水线要补四处：等待异步结果、设对 New Code、接上 PR 装饰、排除生成代码。

  7. 自动化测试框架选型与分层策略

    用可量化的选型维度、五套主流框架对比、四层架构代码与 ROI 公式，回答“该用什么、怎么分层、先做哪一步”。

  8. 接口 Mock 与测试数据构造

    从 WireMock stub、pytest 请求拦截、monkeypatch 到 Pact 契约验证，附可直接运行的代码、Mock 漂移事故复盘与测试数据构造/清理方案。

  9. DevSecOps 与安全测试左移

    从威胁建模到 DAST 的流水线卡点、可复制的 GitHub Actions 配置、门禁分级与误报治理，附三个落地上线即失败的真实原因。

  10. 测试报告怎么写才有决策价值

    结论先行的一页纸结构、真实版本报告骨架与节选、指标口径与分母陷阱、图表选择表、"不建议上线"的写法与可复制模板。

  11. 接口自动化持续集成与 Allure 报告

    GitHub Actions / Jenkins 两套可运行配置，解决服务依赖、并行分片、Allure 历史与密钥管理。

  12. Locust 压测脚本入门

    Locust 2.x 实战：HttpUser 与 session 复用、constant_throughput 定速、事件钩子采集自定义指标、worker 数据分片、分布式与端口耗尽的排查。

  13. 敏捷团队中的测试节奏与准入准出

    双周迭代的逐日测试排期、可量化的准入准出、提测单与 Jenkins 门禁、回归范围脚本、缺陷收敛曲线读法、hotfix 与环境冲突处理。

  14. Playwright 实战：自动等待、拦截、Trace 与并行

    自动等待的真实语义、登录态复用、网络拦截、Trace 复盘与分片执行，附可直接跑的 pytest 配置。

  15. 移动端 App 测试要点

    从安装降级、权限二次拒绝、进程死亡恢复到弱网中断、崩溃符号化，按 Android 14 与 iOS 17 的真实行为给出命令、报错与判定标准。

  16. 性能瓶颈定位：从现象到命令的排查手册

    按 CPU、内存、磁盘、网络、GC、数据库、缓存七条线定位瓶颈，附命令、判据与真实案例。

  17. 业务逻辑漏洞测试清单

    支付金额篡改、优惠券叠加、验证码与找回密码、幂等与并发超卖的真实攻击链，附复现脚本、判定证据与 Java 修复代码。

  18. Java 代码审计入门

    以 Source-Sink 为主线审计 Java 项目：命令注入、SQL 拼接、反序列化、XXE、路径穿越、SpEL 的真实代码与修复，附 Semgrep/CodeQL 规则与 PoC 验证方法。

  19. 质量度量：缺陷密度、逃逸率与 DORA

    缺陷密度（KLOC/功能点）、逃逸率、DORA 四项的定义与统计口径，附 8 周示例数据、口径失真案例和从 JIRA CSV 计算指标的 Python 脚本。

  20. SSRF 与文件上传漏洞测试

    SSRF 的服务端代码根因、IP 黑名单绕过清单、gopher 打 Redis 的完整链路；文件上传的后缀解析、内容检测绕过与 Nginx/Tomcat 解析复现。