universal-dev-standards 5.16.0 → 6.0.0

package/bundled/locales/zh-TW/options/testing/istqb-framework.md

@@ -0,0 +1,144 @@
+---
+source: options/testing/istqb-framework.md
+source_version: 1.0.0
+translation_version: 1.0.0
+status: current
+---
+
+# ISTQB 測試框架
+
+> **語言**: [English](../../../../options/testing/istqb-framework.md) | 繁體中文
+
+**上層標準**: [Testing Completeness](../../core/test-completeness-dimensions.md)
+
+---
+
+## 概觀
+
+ISTQB（International Software Testing Qualifications Board，國際軟體測試認證委員會）測試框架提供標準化的四層測試模型。它具備正式的結構、明確的文件要求，並在企業環境中廣泛採用。
+
+## 最適用情境
+
+- 需要正式 QA 流程的企業專案
+- 需要認證或合規的專案
+- 設有專責 QA 團隊的組織
+- 瀑布式或混合式開發方法論
+- 具備嚴格稽核要求的專案
+
+## 測試層級（Testing Levels）
+
+### 1. 單元測試（Unit Testing, UT）
+
+| 面向 | 說明 |
+|--------|---------|
+| **ISTQB 術語** | Component Testing（元件測試） |
+| **定義** | 隔離地測試個別軟體元件 |
+| **目的** | 驗證程式碼單元是否正確運作 |
+| **執行者** | 開發人員 |
+
+### 2. 整合測試（Integration Testing, IT/SIT）
+
+| 面向 | 說明 |
+|--------|---------|
+| **ISTQB 術語** | Integration Testing（整合測試） |
+| **縮寫** | IT 或 SIT |
+| **定義** | 測試已整合元件之間的介面與互動 |
+| **目的** | 驗證元件之間的互動 |
+| **執行者** | 開發人員或 QA |
+
+**注意：**
+- IT（Integration Testing，整合測試）：常見於 Agile/DevOps 環境
+- SIT（System Integration Testing，系統整合測試）：常見於 Enterprise/ISTQB 情境
+- 兩個術語指的是同一個測試層級
+
+### 3. 系統測試（System Testing, ST）
+
+| 面向 | 說明 |
+|--------|---------|
+| **ISTQB 術語** | System Testing（系統測試） |
+| **定義** | 測試完整整合後的系統，以驗證其是否符合需求 |
+| **目的** | 驗證系統是否滿足功能性與非功能性需求 |
+| **執行者** | QA 團隊 |
+
+### 4. 驗收測試（Acceptance Testing, AT/UAT）
+
+| 面向 | 說明 |
+|--------|---------|
+| **ISTQB 術語** | Acceptance Testing（驗收測試） |
+| **縮寫** | AT 或 UAT |
+| **定義** | 進行測試以判定系統是否滿足業務需求 |
+| **目的** | 驗證系統是否符合業務需求 |
+| **執行者** | 終端使用者或業務利害關係人 |
+
+**子類型：**
+- **使用者驗收測試（User Acceptance Testing, UAT）：** 由實際使用者進行驗證
+- **合約驗收測試（Contract Acceptance Testing）：** 對照合約條件進行驗證
+- **法規驗收測試（Regulatory Acceptance Testing）：** 合規性驗證
+
+## 測試類型（Test Types）
+
+### 功能性測試（Functional Testing）
+
+- 功能測試（Functional testing）
+- 使用者介面測試（User interface testing）
+- 回歸測試（Regression testing）
+
+### 非功能性測試（Non-Functional Testing）
+
+- 效能測試（Performance testing）
+- 安全測試（Security testing）
+- 可用性測試（Usability testing）
+- 可靠性測試（Reliability testing）
+
+## 何時選擇 ISTQB
+
+**適合選擇的情況：**
+- 需要正式的測試文件
+- 與 QA 認證機構合作
+- 具備合規要求的企業環境
+- 團隊中包含 ISTQB 認證的專業人員
+- 重視稽核軌跡（audit trail）
+
+**應避免的情況：**
+- 以快速迭代為優先
+- 沒有專責 QA 的小型團隊
+- 純 DevOps／持續交付（Continuous Delivery）導向
+- 在意文件開銷（documentation overhead）
+
+## 與 Industry Pyramid 的比較
+
+| ISTQB 層級 | 業界對應 | 主要差異 |
+|-------------|---------------------|----------------|
+| Unit Testing | Unit Testing (UT) | 概念相同 |
+| Integration Testing | Integration Testing (IT/SIT) | 概念相同，縮寫慣例不同 |
+| System Testing | 通常與 E2E 合併 | ISTQB 將系統驗證與使用者驗收分開 |
+| Acceptance Testing | E2E 的一部分 | ISTQB 設有專屬層級進行業務驗證 |
+
+## 規則
+
+| 規則 | 說明 | 優先級 |
+|------|-------------|----------|
+| 四層結構 | 採用 4 個層級：UT → IT/SIT → ST → AT/UAT，並設有進入／退出條件（entry/exit criteria） | Required |
+| 需求可追溯性 | 每個測試案例應可追溯至某項需求 | Required |
+| 缺陷分類 | 依 ISTQB 準則按嚴重性（severity）與優先級（priority）分類缺陷 | Recommended |
+
+## 相關選項
+
+- [Industry Pyramid](./industry-pyramid.md) - Agile 三層測試模型
+- [Unit Testing](./unit-testing.md) - 詳細的單元測試實務
+- [System Testing](./system-testing.md) - 系統測試實務
+
+---
+
+## 參考資料
+
+- [ISTQB Glossary v4.0](https://glossary.istqb.org)
+- [ISTQB Foundation Level Syllabus](https://www.istqb.org/certifications/certified-tester-foundation-level)
+
+---
+
+## 授權
+
+本文件以 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 授權發布。
+
+**來源**: [universal-dev-standards](https://github.com/AsiaOstrich/universal-dev-standards)

package/bundled/locales/zh-TW/options/testing/performance-testing.md

@@ -0,0 +1,251 @@
+---
+source: options/testing/performance-testing.md
+source_version: 1.0.0
+translation_version: 1.0.0
+status: current
+---
+# 效能測試（Performance Testing）
+
+> **語言**: [English](../../../../options/testing/performance-testing.md) | 繁體中文
+
+**上層標準**: [測試完整性](../../core/test-completeness-dimensions.md)
+
+---
+
+## 概觀
+
+效能測試驗證應用程式在各種負載條件下是否符合速度、可擴展性與穩定性需求。它有助於找出瓶頸，並確保系統能承受預期的流量。
+
+## 最適用於
+
+- 高流量應用程式
+- 即時系統
+- 電子商務平台
+- API 與微服務
+- 資料庫密集型應用程式
+
+## 測試類型
+
+### Load Testing（負載測試）
+
+測試系統在預期負載下的行為。
+
+| 面向 | 細節 |
+|--------|---------|
+| **目的** | 驗證系統能處理正常流量 |
+| **指標** | 回應時間（P50、P95、P99）、Throughput（TPS/RPS）、錯誤率 |
+
+**工具：**
+
+| 工具 | 類型 | 語言 |
+|------|------|----------|
+| k6 | 開源 | JavaScript |
+| JMeter | 開源 | Java/XML |
+| Gatling | 開源 | Scala |
+| Locust | 開源 | Python |
+
+### Stress Testing（壓力測試）
+
+測試系統在超出正常負載下的行為。
+
+| 面向 | 細節 |
+|--------|---------|
+| **目的** | 找出崩潰點與失效模式 |
+| **指標** | 最大容量、劣化曲線、復原時間 |
+
+**做法：**
+- 逐步增加負載
+- 監控錯誤與效能下降
+- 找出瓶頸
+- 記錄失效門檻
+
+### Spike Testing（尖峰測試）
+
+測試流量突然增加的情況。
+
+| 面向 | 細節 |
+|--------|---------|
+| **目的** | 驗證對流量尖峰的處理能力 |
+| **情境** | 限時搶購、爆紅內容、行銷活動、特定時段事件 |
+
+### Soak Testing（耐久測試 / Endurance Testing）
+
+測試系統在長時間運作下的穩定性。
+
+| 面向 | 細節 |
+|--------|---------|
+| **目的** | 找出 memory leak 與效能劣化 |
+| **持續時間** | 數小時到數天 |
+
+**需留意：**
+- Memory leak
+- Connection pool 耗盡
+- 日誌檔成長
+- 效能逐漸劣化
+
+### Capacity Testing（容量測試）
+
+判定系統的最大容量。
+
+| 面向 | 細節 |
+|--------|---------|
+| **目的** | 規劃擴展與基礎設施 |
+| **產出** | 使用者容量上限、資源需求、擴展門檻 |
+
+## 關鍵指標
+
+### Latency（延遲）
+
+| 百分位數 | 描述 | 目標 |
+|------------|-------------|--------|
+| P50 | 中位數回應時間 | 基準值 |
+| P95 | 第 95 百分位數 | 基準值的 2–3 倍 |
+| P99 | 第 99 百分位數 | 最多基準值的 5 倍 |
+
+**注意：** 對使用者體驗而言，P99 往往比平均值更重要。
+
+### Throughput（吞吐量）
+
+| 量測 | 描述 |
+|-------------|-------------|
+| TPS | 每秒交易數（Transactions Per Second） |
+| RPS | 每秒請求數（Requests Per Second） |
+| QPS | 每秒查詢數（Queries Per Second） |
+
+### 錯誤率
+
+| 等級 | 目標 |
+|-------|--------|
+| 可接受 | < 0.1% |
+| 劣化 | < 1% |
+| 危急 | > 1% |
+
+### 資源使用率
+
+- CPU 使用率
+- 記憶體使用率
+- 網路 I/O
+- 磁碟 I/O
+- Connection pool 使用率
+
+## Service Level Objectives（服務等級目標）
+
+定義可量測的效能目標：
+
+```yaml
+latency_slo: "P99 latency < 200ms"
+availability_slo: "99.9% uptime"
+throughput_slo: "1000 RPS sustained"
+error_slo: "Error rate < 0.1%"
+```
+
+**注意：** SLO 應以使用者需求為基礎，而非系統能力。
+
+## 測試階段
+
+| 階段 | 描述 | 持續時間 |
+|-------|-------------|----------|
+| **1. 基準（Baseline）** | 在最小負載下建立目前的效能基準 | 1–2 天 |
+| **2. 負載（Load）** | 模擬預期流量，驗證是否符合 SLO | 2–3 天 |
+| **3. 壓力（Stress）** | 增加負載直到失效，記錄崩潰點 | 1–2 天 |
+| **4. 耐久（Soak）** | 執行 24–72 小時，監控效能劣化 | 1–3 天 |
+
+## CI 整合
+
+### k6 範例
+
+```javascript
+import http from 'k6/http';
+import { check, sleep } from 'k6';
+
+export const options = {
+  stages: [
+    { duration: '30s', target: 10 },
+    { duration: '1m', target: 10 },
+    { duration: '30s', target: 0 },
+  ],
+  thresholds: {
+    http_req_duration: ['p(95)<500'],
+    http_req_failed: ['rate<0.01'],
+  },
+};
+
+export default function () {
+  const res = http.get('https://api.example.com/health');
+  check(res, { 'status 200': (r) => r.status === 200 });
+  sleep(1);
+}
+```
+
+### GitHub Actions
+
+```yaml
+name: Performance Test
+on:
+  pull_request:
+    branches: [main]
+jobs:
+  k6:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Run k6 test
+        uses: grafana/k6-action@v0.3.1
+        with:
+          filename: tests/performance/load-test.js
+```
+
+## 規則
+
+| 規則 | 描述 | 優先級 |
+|------|-------------|----------|
+| 先建立基準 | 在最佳化前先建立基準指標 | 必要 |
+| 真實資料 | 使用接近正式環境的資料量與模式 | 必要 |
+| 隔離環境 | 使用隔離環境以避免干擾 | 必要 |
+| 漸進負載 | 逐步增加負載以找出門檻 | 建議 |
+| 監控資源 | 監控所有系統資源（CPU、記憶體、I/O） | 必要 |
+| 聚焦百分位數 | 聚焦於 P95/P99 latency，而非平均值 | 必要 |
+| 回歸測試 | 在 CI/CD 中納入效能回歸測試 | 建議 |
+
+## 快速參考
+
+### 測試類型
+
+| 類型 | 目的 | 持續時間 | 時機 |
+|------|---------|----------|------|
+| Load | 正常流量 | 數分鐘 | 每次發版 |
+| Stress | 崩潰點 | 數小時 | 重大發版 |
+| Spike | 突然增加 | 數分鐘 | 視情況需要 |
+| Soak | 長期穩定性 | 數天 | 每季 |
+| Capacity | 最大容量 | 數小時 | 規劃時 |
+
+### 關鍵指標
+
+| 指標 | 量測內容 | 目標 |
+|--------|-----------------|--------|
+| P50 Latency | 中位數回應 | 基準值 |
+| P95 Latency | 典型最差情況 | 基準值的 2–3 倍 |
+| P99 Latency | 極端情況 | 最多基準值的 5 倍 |
+| Throughput | 每秒請求數 | 依 SLO 定義 |
+| 錯誤率 | 失敗的請求 | < 0.1% |
+
+## 相關選項
+
+- [單元測試](./unit-testing.md) - 單元測試實務
+- [安全測試](./security-testing.md) - 安全測試實務
+
+---
+
+## 參考資料
+
+- [ISTQB Performance Testing](https://www.istqb.org/)
+- [Google SRE Book](https://sre.google/sre-book/table-of-contents/)
+- [k6 Documentation](https://k6.io/docs/)
+
+---
+
+## 授權
+
+本文件以 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 授權釋出。
+
+**來源**: [universal-dev-standards](https://github.com/AsiaOstrich/universal-dev-standards)

package/bundled/locales/zh-TW/options/testing/security-testing.md

@@ -0,0 +1,192 @@
+---
+source: options/testing/security-testing.md
+source_version: 1.0.0
+translation_version: 1.0.0
+status: current
+---
+# 安全測試（Security Testing）
+
+> **語言**: [English](../../../../options/testing/security-testing.md) | 繁體中文
+
+**上層標準**: [測試完整性（Testing Completeness）](../../core/test-completeness-dimensions.md)
+
+---
+
+## 概觀
+
+安全測試（security testing）在弱點被利用之前，先找出應用程式中的漏洞。它涵蓋靜態分析（static analysis）、動態測試（dynamic testing）、相依套件掃描（dependency scanning）與滲透測試（penetration testing），以確保全面的安全覆蓋。
+
+## 最適用於
+
+- 處理敏感資料的應用程式
+- 金融服務
+- 醫療照護應用程式
+- 電子商務平台
+- 任何對外公開的應用程式
+
+## 測試類型
+
+### 靜態應用程式安全測試（SAST）
+
+不執行程式的情況下分析原始碼。
+
+| 面向 | 細節 |
+|--------|---------|
+| **何時使用** | 開發早期、CI/CD pipeline |
+
+**工具：**
+
+| 工具 | 語言 |
+|------|-----------|
+| SonarQube | 多語言 |
+| Semgrep | 多語言 |
+| CodeQL | 多語言 |
+| Bandit | Python |
+| Brakeman | Ruby |
+| ESLint security plugins | JavaScript/TypeScript |
+
+### 動態應用程式安全測試（DAST）
+
+針對運行中的應用程式測試漏洞。
+
+| 面向 | 細節 |
+|--------|---------|
+| **何時使用** | Staging 環境、預備上線（pre-production） |
+
+**工具：**
+
+| 工具 | 類型 |
+|------|------|
+| OWASP ZAP | 開源 |
+| Burp Suite | 商業 |
+| Nuclei | 開源 |
+| Nikto | 開源 |
+
+### 軟體組成分析（SCA）
+
+檢查相依套件是否存在已知漏洞。
+
+| 面向 | 細節 |
+|--------|---------|
+| **何時使用** | 每次建置、持續監控 |
+
+**工具：**
+
+| 工具 | 類型 |
+|------|------|
+| Snyk | SaaS/CLI |
+| Dependabot | GitHub 整合 |
+| npm audit | CLI |
+| OWASP Dependency-Check | 開源 |
+
+### 滲透測試（Penetration Testing）
+
+由安全專業人員執行的模擬攻擊。
+
+| 面向 | 細節 |
+|--------|---------|
+| **何時使用** | 重大發布前、每年一次 |
+
+**類型：**
+- **黑箱（Black box）：** 無事先資訊
+- **白箱（White box）：** 完整存取權限
+- **灰箱（Grey box）：** 部分資訊
+
+### 機密掃描（Secret Scanning）
+
+偵測外洩的憑證與機密資訊。
+
+**工具：**
+
+| 工具 | 類型 |
+|------|------|
+| GitLeaks | 開源 |
+| TruffleHog | 開源 |
+| GitHub Secret Scanning | GitHub 整合 |
+
+## OWASP Top 10（2021）
+
+| ID | 風險 | 測試重點 |
+|----|------|------------|
+| A01 | 失效的存取控制（Broken Access Control） | 授權檢查、權限提升 |
+| A02 | 加密失效（Cryptographic Failures） | 加密、金鑰管理、資料外洩 |
+| A03 | 注入（Injection） | SQL、NoSQL、OS、LDAP injection |
+| A04 | 不安全的設計（Insecure Design） | 安全需求、威脅建模（threat modeling） |
+| A05 | 安全設定錯誤（Security Misconfiguration） | 預設設定、不必要的功能 |
+| A06 | 易受攻擊的元件（Vulnerable Components） | 過時的相依套件、已知 CVE |
+| A07 | 身分驗證失效（Authentication Failures） | Session 管理、憑證填充（credential stuffing） |
+| A08 | 軟體與資料完整性失效（Software and Data Integrity Failures） | CI/CD pipeline 安全、序列化（serialization） |
+| A09 | 安全日誌與監控失效（Security Logging and Monitoring Failures） | 稽核日誌、警示 |
+| A10 | 伺服器端請求偽造（Server-Side Request Forgery） | URL 驗證、網路分段（network segmentation） |
+
+## CI 整合
+
+### GitHub Actions 範例
+
+```yaml
+name: Security Scan
+on: [push, pull_request]
+jobs:
+  sast:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Run Semgrep
+        uses: semgrep/semgrep-action@v1
+
+  dependency-scan:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Run Snyk
+        uses: snyk/actions/node@master
+
+  secret-scan:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Run Gitleaks
+        uses: gitleaks/gitleaks-action@v2
+```
+
+## 規則
+
+| 規則 | 描述 | 優先級 |
+|------|-------------|----------|
+| CI 中的 SAST | 在每條建置 pipeline 中納入 SAST | 必要 |
+| 相依套件掃描 | 掃描所有相依套件的漏洞 | 必要 |
+| 機密掃描 | 在 push 之前掃描外洩的機密資訊 | 必要 |
+| DAST staging | 針對 staging 環境執行 DAST | 建議 |
+| 年度滲透測試 | 至少每年進行一次滲透測試 | 建議 |
+| OWASP 檢查清單 | 在測試計畫中涵蓋所有 OWASP Top 10 風險 | 必要 |
+
+## 快速參考
+
+| 類型 | 縮寫 | 何時 | 工具 |
+|------|--------------|------|-------|
+| 靜態分析 | SAST | CI/CD | SonarQube, Semgrep |
+| 動態分析 | DAST | Staging | OWASP ZAP, Burp |
+| 相依套件掃描 | SCA | 每次建置 | Snyk, Dependabot |
+| 滲透測試 | Pentest | 每年 | 手動／專業人員 |
+| 機密掃描 | - | Pre-commit | GitLeaks, TruffleHog |
+
+## 相關選項
+
+- [效能測試（Performance Testing）](./performance-testing.md) - 效能測試實踐
+- [單元測試（Unit Testing）](./unit-testing.md) - 單元測試實踐
+
+---
+
+## 參考資料
+
+- [OWASP Testing Guide](https://owasp.org/www-project-web-security-testing-guide/)
+- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
+- [NIST SP 800-115](https://csrc.nist.gov/publications/detail/sp/800-115/final)
+
+---
+
+## 授權
+
+本文件依 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 授權釋出。
+
+**來源**: [universal-dev-standards](https://github.com/AsiaOstrich/universal-dev-standards)