经典问题——华测
1、没有 token 的情况下，接口的自动化测试可以通过哪些方式处理？
- 确认接口是否有其他认证机制：
- 如果使用的是 Basic Auth、Session ID 等传统方式，可以在请求中直接传递相关认证信息（如用户名和密码、Cookie 等）。
- 如果接口没有任何认证机制：
- 确认测试环境是否可以直接访问接口。没有认证可能是因为项目运行在封闭的内网环境，安全性依赖于网络隔离。如果如此，可以直接进行接口调用。
- 模拟真实请求：
- 通过抓包工具（如 Fiddler、Wireshark、Postman）确认接口调用的请求头和参数，并在自动化测试中复现这些请求。
- 利用固定的测试账户：
- 若接口允许用测试账户登录，则在自动化测试中以此账户的固定凭据来发送请求。
- 加强环境隔离：
- 如果生产环境对安全性有要求，建议限制测试脚本的调用权限，只允许在测试环境中使用。
- 自动化工具选择：
- 使用合适的自动化测试工具（如 JMeter、Rest Assured、Postman Collection Runner 等）模拟请求并验证响应。
无 token 的情况下，确保接口调用的认证机制（如果存在）正确实现即可；若没有认证机制，则重点在于验证功能逻辑而非安全性。
2、什么是 Token？
Token 是一种认证凭证，用于在客户端和服务器之间进行身份验证。它通常是一串加密的字符串，由服务器生成并返回给客户端，客户端在后续请求中携带 Token，服务器通过验证 Token 来判断请求的合法性。
Token 的主要功能：
- 身份验证：确认请求者的身份。
- 权限验证：确认请求者是否有权限访问指定资源。
- 防止重复登录：避免频繁验证用户名和密码。
Token 的典型内容：
| 内容部分 | 描述 |
|---|---|
| 用户身份信息 | 可能包括用户 ID、用户名等，用于标识用户身份。 |
| 签发时间 | Token 的生成时间，用于判断是否过期。 |
| 过期时间 | Token 的有效期，超过该时间后需要重新登录或刷新 Token。 |
| 权限信息 | 描述用户的角色或权限范围，用于控制资源访问。 |
| 随机数/唯一标识符 | 防止 Token 被重放攻击（Replay Attack）。 |
| 签名信息 | 使用服务器密钥签名，确保 Token 内容未被篡改，可以通过加密算法（如 HMAC、RSA）验证真实性。 |
Token 的常见类型：
| 类型 | 特点 |
|---|---|
| JWT（JSON Web Token） | 一种标准化的 Token，基于 JSON 格式，包含 Header、Payload 和 Signature 三部分，支持跨语言验证。 |
| Opaque Token | 不透明的 Token，通常是随机字符串，所有验证和信息存储在服务器端。 |
| OAuth Token | 用于授权协议（如 OAuth2）的 Token，可以分为访问令牌（Access Token）和刷新令牌（Refresh Token）。 |
凡是过去，皆为序章；凡是未来，皆有可期。