3. 安全合规压测定义：安全压测与功能压测的区别，合规性要求对压测的影响

安全合规压测并非简单地在功能压测脚本中增加几个鉴权接口。它是在合规性约束与安全攻击面双重条件下，对系统进行的高并发、高负载验证。其核心目标是：在满足GDPR、等保2.0、PCI-DSS等法规要求的前提下，验证系统在极端流量下的权限校验正确性、数据隔离有效性以及尾延迟的可控性。

3.1 安全压测 vs 功能压测：核心差异

传统功能压测关注“系统能不能扛住”，而安全合规压测关注“系统在扛住的同时，会不会出现权限泄露或数据越权”。两者的差异贯穿于测试目标、测试数据、断言逻辑和通过标准。

3.2 合规性要求对压测的三大影响

GDPR、等保2.0、PCI-DSS三大合规框架对压测的设计、执行和结果分析提出了硬性约束。这些约束直接决定了压测脚本的复杂度和压测环境的隔离策略。

3.2.1 GDPR：数据最小化与访问日志审计

• 数据脱敏要求： 压测数据不得包含真实个人身份信息（PII）。所有测试Token、用户ID、手机号、邮箱必须经过脱敏或合成处理。
• 访问日志审计： 压测期间产生的所有权限校验日志必须保留，用于事后审计。压测脚本需额外记录每次权限决策的上下文（用户ID、资源ID、决策结果）。
• 尾延迟影响： GDPR要求“数据可移植性”接口（如用户数据导出）必须在合理时间内响应。压测需验证高并发下该接口的P99尾延迟是否超过合规阈值（通常为30秒）。

3.2.2 等保2.0：三级及以上系统的强制要求

• 身份鉴别与访问控制： 压测必须覆盖“双因子认证”场景下的高并发登录，以及“最小权限原则”下的角色切换压测。
• 安全审计： 压测期间，系统需记录所有用户行为，且审计记录不能被压测流量冲垮。需验证审计日志写入性能是否成为瓶颈。
• 资源控制： 等保2.0要求对并发连接数进行限制。压测需验证限流组件在高并发下是否准确拦截超限请求，且不误伤正常请求。

3.2.3 PCI-DSS：支付卡行业的数据安全标准

• 加密与密钥管理： 压测中涉及支付卡号（PAN）的接口必须使用强加密传输。压测脚本需模拟TLS握手开销，验证加密通道在高并发下的性能衰减。
• 访问控制严格性： 任何对持卡人数据环境的访问都必须经过“需要知道”原则校验。压测需构造大量“越权访问”请求，验证系统是否在高压下正确返回403。
• 定期测试要求： PCI-DSS明确要求每年至少进行一次渗透测试和容量测试。安全合规压测可作为两者的结合体，但必须保留完整的测试报告和证据链。

3.3 合规压测的架构影响：权限校验链路

合规性要求使得权限校验不再是简单的“查表”操作，而是一条包含多级缓存、策略引擎、审计日志的复杂链路。压测必须覆盖这条链路的每一环。

3.4 合规压测的通过标准矩阵

安全合规压测的通过标准是性能指标与安全指标的笛卡尔积。任何一个维度不达标，整个压测即判定为失败。

3.5 压测脚本中的合规校验示例

以下是一个简化的安全合规压测脚本片段（基于K6），展示了如何在压测中嵌入权限校验和合规断言：

import http from 'k6/http';
import { check, fail } from 'k6';
import { Trend } from 'k6/metrics';

// 自定义指标：记录权限决策耗时
const permDecision = new Trend('perm_decision_duration');

// 多租户Token池
const tokens = [
  { token: 'tenant_a_token', tenantId: 'A' },
  { token: 'tenant_b_token', tenantId: 'B' },
];

export default function () {
  // 随机选择一个Token
  const user = tokens[Math.floor(Math.random() * tokens.length)];

  const params = {
    headers: {
      'Authorization': `Bearer ${user.token}`,
      'Content-Type': 'application/json',
    },
  };

  const res = http.get('https://api.example.com/orders', params);

  // 记录权限决策耗时（从响应头或自定义头中提取）
  permDecision.add(res.timings.waiting);

  // 功能断言：响应时间
  check(res, {
    'response time < 500ms': (r) => r.timings.duration < 500,
  });

  // 安全断言：响应体中不得包含其他租户的数据
  check(res, {
    'no cross-tenant data leak': (r) => {
      // 假设响应体是JSON数组，检查每个元素的tenantId
      try {
        const body = JSON.parse(r.body);
        for (const item of body) {
          if (item.tenantId && item.tenantId !== user.tenantId) {
            console.error(`数据泄露: 期望租户 ${user.tenantId}, 发现租户 ${item.tenantId}`);
            return false;
          }
        }
        return true;
      } catch (e) {
        return false;
      }
    },
  });

  // 合规断言：如果发现泄露，立即终止
  if (!check(res, { 'no leak': (r) => r.status !== 403 })) {
    fail('安全合规压测失败: 权限校验异常');
  }
}