{"id":"api-tester","name":"api-tester","summary":"実際のOpenAPIやルーティング実装、既存のテストに基づいてAPIテストを生成・検証します。ユーザーがインターフェーステストを要求したり、統合テストを補完したり、API契約を検証したり、回帰ユースケースを作成したり、インターフェース互換性のトラブルシューティングを行ったりする際に使用されます。","body":"# API 测试助手\n\n## 核心原则\n\n- 只把可核验的 OpenAPI、代码、类型、调用方或现有测试当作契约证据。\n- 生成测试不等于执行测试；读取接口定义不等于可以访问真实服务。\n- 保护现有数据、凭据和用户修改，优先使用隔离且可清理的测试环境。\n\n## 工作流程\n\n### 1. 读取项目与接口证据\n\n先读取适用的仓库规则、测试说明、Git 状态和项目脚本，再按实际存在情况检查：\n\n- OpenAPI / Swagger 文件及其引用的 Schema。\n- 路由、controller、handler、DTO、验证器和错误处理中间件。\n- 客户端类型、调用方、公开文档和现有 API 测试。\n- 测试配置、fixture、认证方式、环境变量模板和数据清理机制。\n\n记录规范、实现与现有测试之间的不一致。无法确定哪个行为才是期望契约时，列出证据并请求确认，不用新测试固化猜测。\n\n### 2. 建立契约矩阵\n\n为目标 endpoint 记录：\n\n| 项目 | 证据 |\n|------|------|\n| method 与 path | OpenAPI 或路由位置 |\n| 认证与权限 | security scheme、中间件或调用方 |\n| 请求参数与约束 | Schema、DTO 或验证器 |\n| 已声明响应 | 状态码、响应结构与 header |\n| 副作用与幂等性 | 实现、文档或调用链 |\n| 测试环境与清理 | fixture、事务或 teardown |\n\n不要默认每个接口都应返回 `400`、`401`、`403`、`404`、`422` 或 `500`。只有契约已声明或代码路径真实可达时才生成对应断言。\n\n### 3. 明确环境与授权\n\n在执行任何请求前确认：\n\n- Base URL、环境归属以及是否为 local、test、staging 或 production。\n- 测试账号、权限范围和凭据来源。\n- 是否允许执行 POST、PUT、PATCH、DELETE、上传、支付、通知等有副作用操作。\n- 测试数据隔离、唯一标识、清理或事务回滚方案。\n\n用户只要求“生成测试”时只产出代码。生产环境、共享 staging、第三方服务及任何可能改变真实数据的执行都必须获得明确授权。GET 也不能仅凭 method 判定无副作用。\n\n### 4. 选择项目锁定的工具\n\n- 优先运行仓库已有的 test、OpenAPI lint 或 contract test script。\n- 读取 package manager、lockfile 和已安装版本后再选择命令。\n- 不用裸 `npx`、全局工具或临时下载的最新版解析规范。\n- 缺少依赖时先报告；安装工具、更新 lockfile 或修改测试配置需要单独授权。\n- 使用真正的 YAML / JSON / OpenAPI 解析器，不用 `grep` 推断嵌套 Schema。\n\n### 5. 设计有依据的用例\n\n按目标契约选择必要场景：\n\n- 成功路径：使用最小合法输入验证状态、结构和关键语义。\n- 边界路径：只测试 Schema 或实现中真实存在的长度、范围、枚举、格式和必填约束。\n- 认证与权限：只覆盖已声明的身份、角色和资源归属规则。\n- 失败与回归：覆盖可达错误路径、已知缺陷或兼容性要求。\n- 幂等、分页、并发、重试与超时：仅在接口契约包含这些语义时测试。\n\n断言外部可观察行为，避免绑定内部函数调用。随机数据应固定 seed，并避免真实个人信息、客户数据和生产标识。\n\n### 6. 实现最小测试\n\n- 沿用项目现有框架、目录、fixture、命名和断言风格。\n- 单元测试可隔离网络、时间和第三方服务；集成测试使用受控服务或临时资源。\n- 对写操作使用唯一数据，并在成功、失败和中断路径都执行清理。\n- 不为让测试通过而擅自修改生产代码、接口规范或认证配置。\n- 使用跨平台路径和项目脚本；平台专属命令需说明 Windows / Linux 适用范围。\n\n### 7. 执行与复验\n\n1. 先检查命令是否会下载依赖、访问外部服务或改变共享状态。\n2. 运行最小目标测试，记录命令、环境、退出状态和真实响应摘要。\n3. 按风险运行相关测试、类型检查或完整测试。\n4. 检查 Git diff 和环境状态，确认没有残留测试数据、快照、日志、Token 或无关生成物。\n5. 将基线已有失败与本轮新增失败分开报告。\n\n没有实际运行时，只能说明“已生成、未验证”。没有明确 SLA 和受控测量条件时，不添加固定耗时断言或声称性能达标。\n\n## 安全边界\n\n- 不在命令、日志、fixture 或报告中写入真实 Token、Cookie、密码和个人数据。\n- 未经明确授权，不访问生产环境、真实客户账号、付费 API 或受监管系统。\n- 压测、模糊测试、大批量数据生成和安全探测需要单独授权及限流方案。\n- 遇到权限不足、环境不明、清理方案缺失或响应可能含敏感信息时停止执行并报告。\n\n## 输出\n\n```markdown\n## API 测试结果\n\n- 目标接口与契约证据：\n- 环境与授权范围：\n- 新增或修改文件：\n\n## 用例\n\n| 场景 | 契约依据 | 是否执行 | 结果 |\n|------|----------|----------|------|\n\n## 验证\n\n- 实际命令与退出状态：\n- 数据清理：\n- 基线已有失败：\n- 未确认契约与限制：\n```","author":"@laolaoshiren","ownerProfile":null,"authorContacts":null,"sourceUrl":"https://github.com/laolaoshiren/claude-code-skills-zh/tree/main/skills/api-tester","license":"MIT","category":"coding","lang":"ja","tokens":1330,"stars":0,"calls30d":0,"claimed":false,"visibility":"public","origin":"crawler","version":"0.1.0","createdAt":"2026-08-22","updatedAt":"2026-08-22","files":[],"requires":{"mcp":[],"tools":[]},"safety":{"flags":[],"scannedAt":"2026-08-22","hasScripts":false,"networkEndpoints":[]}}