质量保障

单元测试

隔离测试最小逻辑单元，快速且确定性。

集成测试

测试多个模块如何协同工作，在关键处包含真实数据库和 API。

端到端测试

在类生产环境中驱动真实浏览器走完整用户旅程，从登录到结账。

契约测试

验证消费者的期望和提供者的响应一致，无需跑完整集成。

负载测试

施加真实和峰值流量，找到吞吐上限和第一个崩点。

变异测试

自动变异生产代码并检查测试套件是否抓住每个变异。

快照测试

捕获组件渲染输出或序列化结构，任何非预期变更即失败。

属性测试

声明函数必须对所有输入遵守的定律，让框架生成数百随机输入试图证伪它。

测试金字塔

平衡测试套件：大量快单元测试，较少集成，极少端到端。

覆盖率策略

把覆盖率当未测风险地图，非最大化的百分比。

OWASP Top 10

用业界标准的十大最关键 Web 应用风险列表作基线清单。

认证与授权

证明用户是谁（认证）并决定他们能做什么（授权）——每个请求都正确。

密钥管理

存储、轮换和交付密钥（API key、数据库密码、签名密钥）而不泄露。

依赖扫描

每次变更自动发现第三方依赖中的已知漏洞。

静态分析（SAST）

不运行而扫源码找安全模式——早抓注入、认证缺陷和加密误用。

动态分析（DAST）

从外部扫运行中应用，探测黑盒攻击者会找的漏洞。

渗透测试

让有技能的人如真实对手般攻击应用，找自动化工具漏的链。

输入验证

在服务端验证用户输入的每个字节后才让它碰数据或逻辑。

加密最佳实践

正确用加密: 对的算法、对的模式、对的密钥管理——绝不自己造。

安全头

设锁定浏览器的 HTTP 响应头: CSP、HSTS、X-Frame-Options 等。

Core Web Vitals

追踪 Google 三个以用户为中心的指标：LCP、INP、CLS，保持在"良好"范围。

API 延迟优化

减少请求到响应时间，聚焦 p95 和 p99 非平均。

数据库索引

为查询模式加对的索引，移不用或害写性能的索引。

缓存策略

在正确层（CDN、应用、DB）用正确 TTL 和失效缓存，避免陈旧数据和缓存风暴。

包体积

保持 JavaScript 和 CSS 包小使页面快加载，尤其移动和慢网络。

懒加载

推迟加载折叠下方内容、图和重组件直到用户需要。

性能监控

持续在生产测性能在用户注意前抓回退。

内存泄漏检测

找和修应用内存随时间无界增长最终崩的内存泄漏。

性能预算

对包体积、图体积和请求数设限，CI 中强制防回退。

连接池

复用数据库和 HTTP 连接而非每请求新开，减延迟和资源用。

WCAG 检查清单

对照 WCAG 四原则审计应用: 可感知、可操作、可理解、稳健。

键盘导航

每个交互元素须仅用键盘可操作，带可见焦点指示和合理顺序。

屏幕阅读器支持

通过提供语义 HTML 和 ARIA 确保应用用屏幕阅读器（NVDA、JAWS、VoiceOver、TalkBack）可用。

颜色对比

确保文本和交互元素对背景有足够对比供低视力用户。

焦点管理

为动态内容移动、困和恢复焦点使键盘和屏幕阅读器用户总知在哪。

ARIA 模式

对语义 HTML 不能表达的自定义 widget 正确用 ARIA role、状态和属性。

无障碍测试

结合自动扫描、手动键盘测试和屏幕阅读器测试在用户前找 a11y 问题。

CI 中无障碍

在构建管道自动 a11y 检查使回归在 PR 抓非发布后。

包容性设计

从一开始为人类多样性全范围设计——能力、语言、年龄、设备和上下文。

审查清单

用一致清单使每审查覆同面: 正确性、安全、性能、可读性、测试。

审查评论

写具体、友善和可行动的审查评论使作者无困惑修问题。

审查礼仪

及时审查、优雅回应反馈、保持审查聚焦代码非人。

PR 大小

保持 pull request 小且聚焦使能分钟彻底审查非小时略读。

审查工具

用工具（linter、类型检查器、测试覆盖）自动化机械检查使审查者聚焦逻辑。

审查文化

建审查是协作改进非守门战或橡皮图章的文化。

结对审查

实时一起审查复杂或高风险变更抓异步审查漏的设计问题。

审查指标

追踪审查周期时间、评论质量和缺陷逃逸率以改进审查过程本身。

审查自动化

自动化审查重复部分（lint、测试、陈旧 PR）使审查者聚焦需人判断的部分。

管道设计

将 CI 管道设计为一系列快独立门控、从便宜到贵渐进抓问题。

构建门控

确保代码在 CI 中编译构建后才能合并、抓本地环境漏的集成错。

测试门控

CI 中跑单元、集成和 e2e 测试作失败阻合门控、带覆阈值。

必需状态检查与分支保护

配置分支保护规则、使主分支仅在必需 CI 检查通过后才能接受变更、阻坏或未审代码入库。

合并队列串行集成

用合并队列串行 PR 合并、使每 PR 对前一合并结果验证、防最后合失败级联坏 main。

部署门控与渐进交付

在构建和生产间插批准和验证门控、使部署为有意验证步骤——非合的自动后果。

并发控制与管道取消

限并发管道运行并取消被取代的运行、使 CI 资源花在最新提交非将被推过的旧提交。