universal-dev-standards 5.17.0 → 6.0.0

package/bundled/locales/zh-CN/options/testing/istqb-framework.md

@@ -0,0 +1,144 @@
+---
+source: options/testing/istqb-framework.md
+source_version: 1.0.0
+translation_version: 1.0.0
+status: current
+---
+
+# ISTQB 测试框架
+
+> **语言**: [English](../../../../options/testing/istqb-framework.md) | 简体中文
+
+**上层标准**: [Testing Completeness](../../core/test-completeness-dimensions.md)
+
+---
+
+## 概览
+
+ISTQB（International Software Testing Qualifications Board，国际软件测试认证委员会）测试框架提供标准化的四层测试模型。它具备正式的结构、明确的文档要求，并在企业环境中广泛采用。
+
+## 最适用场景
+
+- 需要正式 QA 流程的企业项目
+- 需要认证或合规的项目
+- 设有专职 QA 团队的组织
+- 瀑布式或混合式开发方法论
+- 具备严格审计要求的项目
+
+## 测试级别（Testing Levels）
+
+### 1. 单元测试（Unit Testing, UT）
+
+| 方面 | 说明 |
+|--------|---------|
+| **ISTQB 术语** | Component Testing（组件测试） |
+| **定义** | 隔离地测试单个软件组件 |
+| **目的** | 验证代码单元是否正确运行 |
+| **执行者** | 开发人员 |
+
+### 2. 集成测试（Integration Testing, IT/SIT）
+
+| 方面 | 说明 |
+|--------|---------|
+| **ISTQB 术语** | Integration Testing（集成测试） |
+| **缩写** | IT 或 SIT |
+| **定义** | 测试已集成组件之间的接口与交互 |
+| **目的** | 验证组件之间的交互 |
+| **执行者** | 开发人员或 QA |
+
+**注意：**
+- IT（Integration Testing，集成测试）：常见于 Agile/DevOps 环境
+- SIT（System Integration Testing，系统集成测试）：常见于 Enterprise/ISTQB 场景
+- 两个术语指的是同一个测试级别
+
+### 3. 系统测试（System Testing, ST）
+
+| 方面 | 说明 |
+|--------|---------|
+| **ISTQB 术语** | System Testing（系统测试） |
+| **定义** | 测试完整集成后的系统，以验证其是否满足需求 |
+| **目的** | 验证系统是否满足功能性与非功能性需求 |
+| **执行者** | QA 团队 |
+
+### 4. 验收测试（Acceptance Testing, AT/UAT）
+
+| 方面 | 说明 |
+|--------|---------|
+| **ISTQB 术语** | Acceptance Testing（验收测试） |
+| **缩写** | AT 或 UAT |
+| **定义** | 进行测试以判定系统是否满足业务需求 |
+| **目的** | 验证系统是否符合业务需求 |
+| **执行者** | 终端用户或业务利益相关方 |
+
+**子类型：**
+- **用户验收测试（User Acceptance Testing, UAT）：** 由实际用户进行验证
+- **合同验收测试（Contract Acceptance Testing）：** 对照合同条件进行验证
+- **法规验收测试（Regulatory Acceptance Testing）：** 合规性验证
+
+## 测试类型（Test Types）
+
+### 功能性测试（Functional Testing）
+
+- 功能测试（Functional testing）
+- 用户界面测试（User interface testing）
+- 回归测试（Regression testing）
+
+### 非功能性测试（Non-Functional Testing）
+
+- 性能测试（Performance testing）
+- 安全测试（Security testing）
+- 可用性测试（Usability testing）
+- 可靠性测试（Reliability testing）
+
+## 何时选择 ISTQB
+
+**适合选择的情况：**
+- 需要正式的测试文档
+- 与 QA 认证机构合作
+- 具备合规要求的企业环境
+- 团队中包含 ISTQB 认证的专业人员
+- 重视审计轨迹（audit trail）
+
+**应避免的情况：**
+- 以快速迭代为优先
+- 没有专职 QA 的小型团队
+- 纯 DevOps／持续交付（Continuous Delivery）导向
+- 在意文档开销（documentation overhead）
+
+## 与 Industry Pyramid 的比较
+
+| ISTQB 级别 | 业界对应 | 主要差异 |
+|-------------|---------------------|----------------|
+| Unit Testing | Unit Testing (UT) | 概念相同 |
+| Integration Testing | Integration Testing (IT/SIT) | 概念相同，缩写惯例不同 |
+| System Testing | 通常与 E2E 合并 | ISTQB 将系统验证与用户验收分开 |
+| Acceptance Testing | E2E 的一部分 | ISTQB 设有专属级别进行业务验证 |
+
+## 规则
+
+| 规则 | 说明 | 优先级 |
+|------|-------------|----------|
+| 四层结构 | 采用 4 个级别：UT → IT/SIT → ST → AT/UAT，并设有进入／退出条件（entry/exit criteria） | Required |
+| 需求可追溯性 | 每个测试用例应可追溯至某项需求 | Required |
+| 缺陷分类 | 依 ISTQB 准则按严重性（severity）与优先级（priority）分类缺陷 | Recommended |
+
+## 相关选项
+
+- [Industry Pyramid](./industry-pyramid.md) - Agile 三层测试模型
+- [Unit Testing](./unit-testing.md) - 详细的单元测试实践
+- [System Testing](./system-testing.md) - 系统测试实践
+
+---
+
+## 参考资料
+
+- [ISTQB Glossary v4.0](https://glossary.istqb.org)
+- [ISTQB Foundation Level Syllabus](https://www.istqb.org/certifications/certified-tester-foundation-level)
+
+---
+
+## 许可证
+
+本文档以 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 许可发布。
+
+**来源**: [universal-dev-standards](https://github.com/AsiaOstrich/universal-dev-standards)

package/bundled/locales/zh-CN/options/testing/performance-testing.md

@@ -0,0 +1,251 @@
+---
+source: options/testing/performance-testing.md
+source_version: 1.0.0
+translation_version: 1.0.0
+status: current
+---
+# 性能测试（Performance Testing）
+
+> **语言**: [English](../../../../options/testing/performance-testing.md) | 简体中文
+
+**上层标准**: [测试完整性](../../core/test-completeness-dimensions.md)
+
+---
+
+## 概览
+
+性能测试验证应用程序在各种负载条件下是否满足速度、可扩展性与稳定性需求。它有助于找出瓶颈，并确保系统能够承受预期的流量。
+
+## 最适用于
+
+- 高流量应用程序
+- 实时系统
+- 电子商务平台
+- API 与微服务
+- 数据库密集型应用程序
+
+## 测试类型
+
+### Load Testing（负载测试）
+
+测试系统在预期负载下的行为。
+
+| 方面 | 细节 |
+|--------|---------|
+| **目的** | 验证系统能处理正常流量 |
+| **指标** | 响应时间（P50、P95、P99）、Throughput（TPS/RPS）、错误率 |
+
+**工具：**
+
+| 工具 | 类型 | 语言 |
+|------|------|----------|
+| k6 | 开源 | JavaScript |
+| JMeter | 开源 | Java/XML |
+| Gatling | 开源 | Scala |
+| Locust | 开源 | Python |
+
+### Stress Testing（压力测试）
+
+测试系统在超出正常负载下的行为。
+
+| 方面 | 细节 |
+|--------|---------|
+| **目的** | 找出崩溃点与失效模式 |
+| **指标** | 最大容量、劣化曲线、恢复时间 |
+
+**做法：**
+- 逐步增加负载
+- 监控错误与性能下降
+- 找出瓶颈
+- 记录失效阈值
+
+### Spike Testing（尖峰测试）
+
+测试流量突然增加的情况。
+
+| 方面 | 细节 |
+|--------|---------|
+| **目的** | 验证对流量尖峰的处理能力 |
+| **场景** | 限时抢购、爆红内容、营销活动、特定时段事件 |
+
+### Soak Testing（耐久测试 / Endurance Testing）
+
+测试系统在长时间运行下的稳定性。
+
+| 方面 | 细节 |
+|--------|---------|
+| **目的** | 找出 memory leak 与性能劣化 |
+| **持续时间** | 数小时到数天 |
+
+**需留意：**
+- Memory leak
+- Connection pool 耗尽
+- 日志文件增长
+- 性能逐渐劣化
+
+### Capacity Testing（容量测试）
+
+确定系统的最大容量。
+
+| 方面 | 细节 |
+|--------|---------|
+| **目的** | 规划扩展与基础设施 |
+| **产出** | 用户容量上限、资源需求、扩展阈值 |
+
+## 关键指标
+
+### Latency（延迟）
+
+| 百分位数 | 描述 | 目标 |
+|------------|-------------|--------|
+| P50 | 中位数响应时间 | 基准值 |
+| P95 | 第 95 百分位数 | 基准值的 2–3 倍 |
+| P99 | 第 99 百分位数 | 最多基准值的 5 倍 |
+
+**注意：** 对用户体验而言，P99 往往比平均值更重要。
+
+### Throughput（吞吐量）
+
+| 度量 | 描述 |
+|-------------|-------------|
+| TPS | 每秒事务数（Transactions Per Second） |
+| RPS | 每秒请求数（Requests Per Second） |
+| QPS | 每秒查询数（Queries Per Second） |
+
+### 错误率
+
+| 级别 | 目标 |
+|-------|--------|
+| 可接受 | < 0.1% |
+| 劣化 | < 1% |
+| 危急 | > 1% |
+
+### 资源使用率
+
+- CPU 使用率
+- 内存使用率
+- 网络 I/O
+- 磁盘 I/O
+- Connection pool 使用率
+
+## Service Level Objectives（服务级别目标）
+
+定义可度量的性能目标：
+
+```yaml
+latency_slo: "P99 latency < 200ms"
+availability_slo: "99.9% uptime"
+throughput_slo: "1000 RPS sustained"
+error_slo: "Error rate < 0.1%"
+```
+
+**注意：** SLO 应以用户需求为基础，而非系统能力。
+
+## 测试阶段
+
+| 阶段 | 描述 | 持续时间 |
+|-------|-------------|----------|
+| **1. 基准（Baseline）** | 在最小负载下建立当前的性能基准 | 1–2 天 |
+| **2. 负载（Load）** | 模拟预期流量，验证是否符合 SLO | 2–3 天 |
+| **3. 压力（Stress）** | 增加负载直到失效，记录崩溃点 | 1–2 天 |
+| **4. 耐久（Soak）** | 运行 24–72 小时，监控性能劣化 | 1–3 天 |
+
+## CI 集成
+
+### k6 示例
+
+```javascript
+import http from 'k6/http';
+import { check, sleep } from 'k6';
+
+export const options = {
+  stages: [
+    { duration: '30s', target: 10 },
+    { duration: '1m', target: 10 },
+    { duration: '30s', target: 0 },
+  ],
+  thresholds: {
+    http_req_duration: ['p(95)<500'],
+    http_req_failed: ['rate<0.01'],
+  },
+};
+
+export default function () {
+  const res = http.get('https://api.example.com/health');
+  check(res, { 'status 200': (r) => r.status === 200 });
+  sleep(1);
+}
+```
+
+### GitHub Actions
+
+```yaml
+name: Performance Test
+on:
+  pull_request:
+    branches: [main]
+jobs:
+  k6:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Run k6 test
+        uses: grafana/k6-action@v0.3.1
+        with:
+          filename: tests/performance/load-test.js
+```
+
+## 规则
+
+| 规则 | 描述 | 优先级 |
+|------|-------------|----------|
+| 先建立基准 | 在优化前先建立基准指标 | 必需 |
+| 真实数据 | 使用接近生产环境的数据量与模式 | 必需 |
+| 隔离环境 | 使用隔离环境以避免干扰 | 必需 |
+| 渐进负载 | 逐步增加负载以找出阈值 | 建议 |
+| 监控资源 | 监控所有系统资源（CPU、内存、I/O） | 必需 |
+| 聚焦百分位数 | 聚焦于 P95/P99 latency，而非平均值 | 必需 |
+| 回归测试 | 在 CI/CD 中纳入性能回归测试 | 建议 |
+
+## 快速参考
+
+### 测试类型
+
+| 类型 | 目的 | 持续时间 | 时机 |
+|------|---------|----------|------|
+| Load | 正常流量 | 数分钟 | 每次发版 |
+| Stress | 崩溃点 | 数小时 | 重大发版 |
+| Spike | 突然增加 | 数分钟 | 视情况需要 |
+| Soak | 长期稳定性 | 数天 | 每季度 |
+| Capacity | 最大容量 | 数小时 | 规划时 |
+
+### 关键指标
+
+| 指标 | 度量内容 | 目标 |
+|--------|-----------------|--------|
+| P50 Latency | 中位数响应 | 基准值 |
+| P95 Latency | 典型最差情况 | 基准值的 2–3 倍 |
+| P99 Latency | 极端情况 | 最多基准值的 5 倍 |
+| Throughput | 每秒请求数 | 依 SLO 定义 |
+| 错误率 | 失败的请求 | < 0.1% |
+
+## 相关选项
+
+- [单元测试](./unit-testing.md) - 单元测试实践
+- [安全测试](./security-testing.md) - 安全测试实践
+
+---
+
+## 参考资料
+
+- [ISTQB Performance Testing](https://www.istqb.org/)
+- [Google SRE Book](https://sre.google/sre-book/table-of-contents/)
+- [k6 Documentation](https://k6.io/docs/)
+
+---
+
+## 许可
+
+本文档以 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 许可发布。
+
+**来源**: [universal-dev-standards](https://github.com/AsiaOstrich/universal-dev-standards)

package/bundled/locales/zh-CN/options/testing/security-testing.md

@@ -0,0 +1,192 @@
+---
+source: options/testing/security-testing.md
+source_version: 1.0.0
+translation_version: 1.0.0
+status: current
+---
+# 安全测试（Security Testing）
+
+> **语言**: [English](../../../../options/testing/security-testing.md) | 简体中文
+
+**上层标准**: [测试完整性（Testing Completeness）](../../core/test-completeness-dimensions.md)
+
+---
+
+## 概览
+
+安全测试（security testing）在漏洞被利用之前，先找出应用程序中的弱点。它涵盖静态分析（static analysis）、动态测试（dynamic testing）、依赖扫描（dependency scanning）与渗透测试（penetration testing），以确保全面的安全覆盖。
+
+## 最适用于
+
+- 处理敏感数据的应用程序
+- 金融服务
+- 医疗健康应用程序
+- 电子商务平台
+- 任何对外公开的应用程序
+
+## 测试类型
+
+### 静态应用程序安全测试（SAST）
+
+不执行程序的情况下分析源代码。
+
+| 方面 | 细节 |
+|--------|---------|
+| **何时使用** | 开发早期、CI/CD pipeline |
+
+**工具：**
+
+| 工具 | 语言 |
+|------|-----------|
+| SonarQube | 多语言 |
+| Semgrep | 多语言 |
+| CodeQL | 多语言 |
+| Bandit | Python |
+| Brakeman | Ruby |
+| ESLint security plugins | JavaScript/TypeScript |
+
+### 动态应用程序安全测试（DAST）
+
+针对运行中的应用程序测试漏洞。
+
+| 方面 | 细节 |
+|--------|---------|
+| **何时使用** | Staging 环境、预上线（pre-production） |
+
+**工具：**
+
+| 工具 | 类型 |
+|------|------|
+| OWASP ZAP | 开源 |
+| Burp Suite | 商业 |
+| Nuclei | 开源 |
+| Nikto | 开源 |
+
+### 软件成分分析（SCA）
+
+检查依赖项是否存在已知漏洞。
+
+| 方面 | 细节 |
+|--------|---------|
+| **何时使用** | 每次构建、持续监控 |
+
+**工具：**
+
+| 工具 | 类型 |
+|------|------|
+| Snyk | SaaS/CLI |
+| Dependabot | GitHub 集成 |
+| npm audit | CLI |
+| OWASP Dependency-Check | 开源 |
+
+### 渗透测试（Penetration Testing）
+
+由安全专业人员执行的模拟攻击。
+
+| 方面 | 细节 |
+|--------|---------|
+| **何时使用** | 重大发布前、每年一次 |
+
+**类型：**
+- **黑盒（Black box）：** 无事先信息
+- **白盒（White box）：** 完整访问权限
+- **灰盒（Grey box）：** 部分信息
+
+### 密钥扫描（Secret Scanning）
+
+检测泄露的凭证与密钥信息。
+
+**工具：**
+
+| 工具 | 类型 |
+|------|------|
+| GitLeaks | 开源 |
+| TruffleHog | 开源 |
+| GitHub Secret Scanning | GitHub 集成 |
+
+## OWASP Top 10（2021）
+
+| ID | 风险 | 测试重点 |
+|----|------|------------|
+| A01 | 失效的访问控制（Broken Access Control） | 授权检查、权限提升 |
+| A02 | 加密失效（Cryptographic Failures） | 加密、密钥管理、数据泄露 |
+| A03 | 注入（Injection） | SQL、NoSQL、OS、LDAP injection |
+| A04 | 不安全的设计（Insecure Design） | 安全需求、威胁建模（threat modeling） |
+| A05 | 安全配置错误（Security Misconfiguration） | 默认配置、不必要的功能 |
+| A06 | 易受攻击的组件（Vulnerable Components） | 过时的依赖项、已知 CVE |
+| A07 | 身份验证失效（Authentication Failures） | Session 管理、凭证填充（credential stuffing） |
+| A08 | 软件与数据完整性失效（Software and Data Integrity Failures） | CI/CD pipeline 安全、序列化（serialization） |
+| A09 | 安全日志与监控失效（Security Logging and Monitoring Failures） | 审计日志、告警 |
+| A10 | 服务器端请求伪造（Server-Side Request Forgery） | URL 验证、网络分段（network segmentation） |
+
+## CI 集成
+
+### GitHub Actions 示例
+
+```yaml
+name: Security Scan
+on: [push, pull_request]
+jobs:
+  sast:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Run Semgrep
+        uses: semgrep/semgrep-action@v1
+
+  dependency-scan:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Run Snyk
+        uses: snyk/actions/node@master
+
+  secret-scan:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+      - name: Run Gitleaks
+        uses: gitleaks/gitleaks-action@v2
+```
+
+## 规则
+
+| 规则 | 描述 | 优先级 |
+|------|-------------|----------|
+| CI 中的 SAST | 在每条构建 pipeline 中纳入 SAST | 必需 |
+| 依赖扫描 | 扫描所有依赖项的漏洞 | 必需 |
+| 密钥扫描 | 在 push 之前扫描泄露的密钥信息 | 必需 |
+| DAST staging | 针对 staging 环境执行 DAST | 推荐 |
+| 年度渗透测试 | 至少每年进行一次渗透测试 | 推荐 |
+| OWASP 检查清单 | 在测试计划中涵盖所有 OWASP Top 10 风险 | 必需 |
+
+## 快速参考
+
+| 类型 | 缩写 | 何时 | 工具 |
+|------|--------------|------|-------|
+| 静态分析 | SAST | CI/CD | SonarQube, Semgrep |
+| 动态分析 | DAST | Staging | OWASP ZAP, Burp |
+| 依赖扫描 | SCA | 每次构建 | Snyk, Dependabot |
+| 渗透测试 | Pentest | 每年 | 手动／专业人员 |
+| 密钥扫描 | - | Pre-commit | GitLeaks, TruffleHog |
+
+## 相关选项
+
+- [性能测试（Performance Testing）](./performance-testing.md) - 性能测试实践
+- [单元测试（Unit Testing）](./unit-testing.md) - 单元测试实践
+
+---
+
+## 参考资料
+
+- [OWASP Testing Guide](https://owasp.org/www-project-web-security-testing-guide/)
+- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
+- [NIST SP 800-115](https://csrc.nist.gov/publications/detail/sp/800-115/final)
+
+---
+
+## 许可
+
+本文件依 [CC BY 4.0](https://creativecommons.org/licenses/by/4.0/) 许可发布。
+
+**来源**: [universal-dev-standards](https://github.com/AsiaOstrich/universal-dev-standards)