📚 课程目录第1章课程介绍与目标

1. 课程介绍与目标：加密接口测试的背景、意义及课程整体安排

1.1 为什么加密接口测试在今天如此重要？

我最早接触加密接口测试，是在一家金融科技公司。那时候业务方提了个需求：所有交易流水必须用国密 SM4 加密传输。我心想，加个密而已嘛，接口该咋测还咋测。结果第一轮回归，签名校验失败、字段对齐错误、解密后乱码……问题一箩筐。那次之后我才真正意识到——加密接口的测试，不是简单的「加个密再发请求」。

你想想看，现在哪个系统不涉及敏感数据？支付、登录、个人信息、医疗记录……几乎所有的业务接口都在逐步加密。HTTP 明文传输早就被扫进历史了。主流方案是：HTTPS + 应用层加密 + 签名验签。而测试人员要面对的是：

密钥管理：开发环境、测试环境、预发环境用的密钥不一样，怎么安全切换？
加密算法差异：AES、RSA、SM2/SM3/SM4，参数多（填充模式、IV、密钥长度），配错一个就全崩。
签名可靠性：接口签名防篡改，但签名逻辑一般写在业务代码里，测试得自己模拟。
密文断言：返回的加密报文怎么断言内容正确？不能只检查状态码吧。

一个我踩过的坑： 之前有个项目用 AES-CBC 加密，开发说 iv 是固定值。结果测试环境没问题，预发环境 iv 被运维改成了随机生成。我们的测试脚本先解密再校验，直接跑飞。后来我加了一条规则：测试脚本里永远不要硬编码加密参数，必须从配置中心或环境变量读取。

1.2 加密接口测试的「意义」到底在哪？

说白了，加密测试不是开发的事吗？我们测功能就行了。但现实中：

开发自测通常只覆盖「正常加密请求」这一条路径。
生产环境一旦发生加密相关故障，修复成本高，影响面大。
监管合规（比如等保、PCI-DSS、GDPR）会明确要求对加密传输进行测试验证。

我个人的理解是：加密接口测试 = 功能测试 + 安全测试 + 兼容性测试。 它要验证三件事：

正确性：数据能正常加密、传输、解密，业务逻辑正确。
健壮性：错误的密文、过期密钥、错误的签名，系统能否正确处理。
性能：加解密对接口响应时间的影响是否在可接受范围。

核心观点： 加密接口集成测试不是「可选锦上添花」，而是「质量保障的必选项」。如果你所在的项目还没有加密测试体系，那么大概率存在隐蔽的线上风险。

1.3 课程整体安排：一张图看懂

下面这张图，是我梳理的课程知识体系。一共 30 章，按「基础 → 建模 → 工具 → 实战 → 进阶」递进。你看完就能对整个课程有个全局认识。

1.4 课程详细路线图

我把 30 章内容分成了 5 个阶段，每个阶段的侧重点不同。你可以先对号入座，看看自己当前处于哪个位置。

阶段	章节范围	核心内容	难度
基础篇	第1-6章	加密算法原理、密钥管理、常见加密模式、签名机制	⭐⭐
建模篇	第7-12章	接口协议解析、加密分层建模、请求/响应参数化	⭐⭐
工具篇	第13-18章	Python加密库选型、测试框架封装、Mock服务	⭐⭐⭐
实战篇	第19-24章	集成测试流水线、数据驱动、CI/CD集成	⭐⭐⭐
进阶篇	第25-30章	国密改造、性能压测、安全合规、反扒技巧	⭐⭐⭐⭐

1.5 你需要什么前置知识？

我个人建议你满足以下条件再开始：

Python 基础：能用 Python 写测试脚本，了解 requests、pytest 这类库。
HTTP/HTTPS 协议基础：知道 GET/POST、状态码、Header、Body 这些。
一点点密码学概念：不要求你懂数学证明，但得知道对称加密和非对称加密的区别。
好奇心：这个最重要。遇到加密问题别躲，拆开看看。

注意： 本课程不教「怎么手动抓包改包」，那是工具操作。我们聚焦在如何用代码构建可复用的加密测试框架。如果你希望复制粘贴就能跑，那可能不适合——我们的核心是教你「造轮子」的思路。

1.6 第一个动手任务：搭建你的 Python 加密测试沙箱

在开始之前，先把环境搭好。我推荐使用 Python 3.10+ 和虚拟环境。下面是基础依赖清单：

# requirements.txt
requests==2.31.0
pytest==7.4.0
pycryptodome==3.19.0    # 国际算法 AES/RSA/3DES
gmssl==3.2.2            # 国密 SM2/SM3/SM4
cryptography==41.0.3    # 另一个流行的加密库，有些项目会用到

安装完成后，你可以跑一个简单的 AES 加解密测试，确认环境正常。

from Crypto.Cipher import AES
from Crypto.Util.Padding import pad, unpad
import base64

key = b'this_is_a_key_16'  # 16字节key
iv = b'this_is_an_iv__16'  # 16字节iv

plaintext = b'Hello, encrypted world!'

cipher = AES.new(key, AES.MODE_CBC, iv)
ct_bytes = cipher.encrypt(pad(plaintext, AES.block_size))
ciphertext = base64.b64encode(ct_bytes).decode()

print("加密结果:", ciphertext)

# 解密验证
cipher2 = AES.new(key, AES.MODE_CBC, iv)
dec_bytes = unpad(cipher2.decrypt(base64.b64decode(ciphertext)), AES.block_size)
print("解密结果:", dec_bytes.decode())
# 输出：加密结果: ... 解密结果: Hello, encrypted world!

这个例子虽然简单，但已经包含了加密测试的核心流程：构建明文 → 加密 → 传输 → 接收 → 解密 → 断言。后续所有章节的测试框架都是在这个基础上扩展的。

一个节省时间的建议： 把加密/解密方法封装成工具函数，不要在每个测试用例里重复写。我在第13章会详细讲怎么封装成一个加密测试工具包，到时候直接复用这里的基础代码。

1.7 这门课能帮你解决什么问题？

我直接列几个常见痛点，看看你中了几个：

做回归测试时，每次都要手动加密参数，效率低还容易出错。 → 第8-10章教你建模自动化加密。
密文返回后，不知道怎么断言内容是否正确。 → 第11章讲解密断言和签名校验。
项目要上国密，但测试环境还不支持。 → 第25-27章专讲国密测试改造。
CI/CD 流水线里加密测试总是不稳定，报签名错误。 → 第21-23章讲 CI 集成和数据依赖管理。
加密工具类写了一大堆，但复用性差，换个项目就得重来。 → 第14-18章讲框架封装和模块化设计。

如果你中了两条以上，那这门课就是为你准备的。

1.8 一些心里话

我经历过那种感觉：测试报告里全是加密相关的失败，开发说是环境问题，运维说是密钥问题，运维说是开发没配好。最后发现谁都没错——是测试脚本里写死了测试环境的公钥，但预发环境更新了密钥。这种问题只要用对方法，一张配置表就能解决。

这门课不光是教技术，更希望帮你建立一种「加密测试的设计思维」：把加密当成接口的一个额外层，用结构化的方式去管理测试数据和密钥，而不是每次都从零开始写加密代码。