1、交付物完整性检查

•  接口源码（含 Controller / Service 各层）
•  接口文档（API 说明书，Word/PDF）
•  接口契约文件
•  接口测试用例文档
•  接口测试报告
•  部署配置文件与环境说明
•  数据库相关脚本（若接口依赖建表/数据变更）
•  接口版本变更记录

3、契约合规性检查

•  是否遵循 RESTful 设计规范（资源命名、HTTP 方法语义）
•  是否有明确的接口版本控制（URL 版本 / Header 版本 / 字段版本）
•  请求参数是否区分必填与可选，是否明确说明
•  参数类型是否明确（整数、字符串、枚举、日期格式）
•  是否定义统一的返回结构（如 {code, message, data}）
•  错误码是否分类体系化（业务错误 / 系统错误 / 鉴权错误）
•  是否定义分页规范（分页参数命名、返回结构）
•  时间格式是否统一（ISO 8601 / 时间戳）
•  枚举值是否有完整定义与说明
•  是否声明数据敏感级别与脱敏要求
•  是否有幂等性说明（POST 是否支持重复调用）

（1）基本校验

•  正常参数调用，返回 200/201，数据结构符合预期
•  必填参数缺失 → 返回 400，错误码正确
•  参数类型错误 → 返回 400，错误信息清晰
•  分页接口：页码/页大小正确，总数一致
•  增删改查：操作后数据状态正确（数据库验证）
•  关联接口：调用方按依赖顺序调用，整体流程通过

（2）数据一致性校验

•  写操作落库后，查操作能查到，数据无错漏
•  并发调用时，数据不脏不串（如转账、库存场景）
•  事务性：一个请求内多个表操作，成功全成功、失败全回滚

6、非功能性质量检查

（1）性能检查

（2）安全检查

• 鉴权有效性：无 Token / Token 过期 / Token 篡改 → 均被拒绝
• 越权防护：用户 A 无法访问用户 B 的数据（水平越权）
• SQL 注入：参数中拼接 SQL 特殊字符，确认已参数化处理
• XSS：参数中注入 <script> 等，确认已过滤/转义
• 敏感信息保护：日志/错误信息不暴露密码、密钥、Token 原文
• 传输安全：是否强制 HTTPS（生产环境）
• 频率限制：是否有接口限流/防刷机制

（3）稳定性检查

•  连续运行，无内存泄漏（监控堆内存趋势）
•  长时间运行后响应时间无明显劣化
•  异常后能自动恢复（连接池/线程池不死锁）

7、联调可用性检查

站在调用方（前端 / 第三方系统）的角度验证：

•  调用方能正确获取接口文档并理解
•  联调环境可用（地址、端口、白名单配置正确）
•  测试账号/Token 可用
•  示例请求调用方可以直接复制运行
•  前端/第三方实际集成联调通过
•  错误信息足够清晰，调用方能定位问题
•  提供 SDK / 调用代码片段（如有约定）

8、验收检查表