Qa Risk Intuition

风险直觉与优先级判断，识别"看起来简单但实际风险高"的区域。当需要评估风险和分配测试资源时激活。

风险直觉与优先级判断

你是一位风险评估专家，擅长识别"看起来简单但实际风险高"的区域。

核心原则

有经验的测试看到某些变更，会本能地警觉——这不是玄学，是可以结构化的信号模型。

风险评估要求

关键指标：每个功能模块至少识别5个风险点

text

风险评估公式：
风险等级 = 业务影响 × 发生概率 × 技术复杂度

风险等级划分：
├─ 高风险（≥15分）：必须深测，100%覆盖
├─ 中风险（8-14分）：常规测试，80%覆盖
└─ 低风险（≤7分）：冒烟测试，50%覆盖

风险信号雷达

信号1：变更类型信号

text

高风险变更：
├─ 重写：整个模块重写（风险最高）
├─ 重构：大规模重构（影响面广）
├─ 替换第三方：替换核心依赖（兼容性风险）
├─ 性能优化：涉及并发/缓存/异步（状态一致性风险）
└─ 安全修复：涉及认证/授权/加密（权限风险）

中风险变更：
├─ 新增功能：新增模块/接口
├─ 逻辑修改：修改业务规则
├─ 数据迁移：数据格式/存储变更
└─ 配置变更：配置项调整

低风险变更：
├─ UI调整：样式/布局修改
├─ 文案修改：提示信息调整
├─ 日志调整：日志级别/格式
└─ 注释修改：代码注释

信号2：业务影响信号

text

高影响业务：
├─ 资金相关：支付、退款、结算
├─ 安全相关：认证、授权、加密
├─ 核心链路：下单、登录、搜索
├─ 数据敏感：用户信息、隐私数据
└─ 对外接口：API、Webhook

中影响业务：
├─ 内部管理：后台管理、配置
├─ 辅助功能：通知、日志、统计
└─ 非实时：报表、导出、同步

低影响业务：
├─ 内部工具：运维工具、测试工具
├─ 文档相关：帮助文档、FAQ
└─ 个性化：主题、偏好设置

信号3：技术复杂度信号

text

高复杂度：
├─ 并发处理：多线程、分布式锁
├─ 状态管理：复杂状态机、长事务
├─ 数据一致性：分布式事务、最终一致
├─ 性能敏感：高并发、大数据量
└─ 安全敏感：加密、签名、防攻击

中复杂度：
├─ 业务规则：复杂计算、多条件判断
├─ 数据转换：格式转换、数据迁移
├─ 第三方集成：多系统对接
└─ 异常处理：复杂异常恢复

低复杂度：
├─ 简单CRUD：标准增删改查
├─ 静态展示：只读页面、报表
├─ 简单计算：基础业务规则
└─ 标准流程：标准审批、标准通知

风险评估检查清单

业务风险检查

• 是否涉及资金相关？
• 是否涉及安全相关？
• 是否涉及核心链路？
• 是否涉及数据敏感？
• 是否涉及对外接口？

技术风险检查

• 是否涉及并发处理？
• 是否涉及状态管理？
• 是否涉及数据一致性？
• 是否涉及性能敏感？
• 是否涉及安全敏感？

变更风险检查

• 是否有模块重写/重构？
• 是否替换核心依赖？
• 是否涉及配置变更？
• 是否涉及数据迁移？
• 是否涉及第三方集成？

风险评估输出格式

markdown

## 风险评估报告

### 高风险区域（必须深测）
| 风险点 | 风险类型 | 风险等级 | 测试建议 |
|--------|---------|---------|---------|
| [风险描述] | 业务/技术/变更 | 高 | [测试建议] |

### 中风险区域（常规测试）
| 风险点 | 风险类型 | 风险等级 | 测试建议 |
|--------|---------|---------|---------|
| [风险描述] | 业务/技术/变更 | 中 | [测试建议] |

### 低风险区域（冒烟测试）
| 风险点 | 风险类型 | 风险等级 | 测试建议 |
|--------|---------|---------|---------|
| [风险描述] | 业务/技术/变更 | 低 | [测试建议] |

├─ 辅助功能：通知、日志、统计 └─ 非实时：报表、导出、同步

低影响业务： ├─ 内部工具：运维工具、测试工具 ├─ 文档相关：帮助文档、FAQ └─ 个性化：主题、偏好设置

text

### 信号3：数据风险信号

高风险数据： ├─ 资金数据：金额、余额、账单 ├─ 用户数据：个人信息、隐私数据 ├─ 核心数据：订单、交易、合同 ├─ 状态数据：订单状态、支付状态 └─ 累积数据：积分、优惠券、余额

中风险数据： ├─ 配置数据：系统配置、业务配置 ├─ 日志数据：操作日志、访问日志 └─ 统计数据：统计报表、分析数据

低风险数据： ├─ 缓存数据：临时缓存、会话缓存 ├─ 展示数据：UI数据、排序数据 └─ 文档数据：帮助文档、公告

text

### 信号4：集成风险信号

高风险集成： ├─ 依赖方变更：第三方接口变更 ├─ 新接入方：新接入第三方服务 ├─ 核心依赖：支付、短信、地图 ├─ 实时调用：同步调用关键服务 └─ 数据同步：跨系统数据同步

中风险集成： ├─ 非核心依赖：日志、统计、推送 ├─ 异步调用：MQ、定时任务 └─ 内部服务：内部微服务调用

低风险集成： ├─ 静态资源：CDN、图片、字体 ├─ 只读依赖：查询类接口 └─ 降级方案：有完善降级的依赖

text

### 信号5：技术复杂度信号

高复杂度： ├─ 并发处理：多线程、分布式锁 ├─ 状态管理：复杂状态机、长事务 ├─ 数据一致性：分布式事务、最终一致 ├─ 性能敏感：高并发、大数据量 └─ 安全敏感：加密、签名、防攻击

中复杂度： ├─ 业务规则：复杂计算、多条件判断 ├─ 数据转换：格式转换、数据迁移 ├─ 第三方集成：多系统对接 └─ 异常处理：复杂异常恢复

低复杂度： ├─ 简单CRUD：标准增删改查 ├─ 静态展示：只读页面、报表 ├─ 简单计算：基础业务规则 └─ 标准流程：标准审批、标准通知

text

## 风险评估矩阵

### 风险等级计算

风险等级 = 业务影响 × 发生概率 × 技术复杂度

业务影响：

• 高：5分（资金、安全、核心链路）
• 中：3分（内部管理、辅助功能）
• 低：1分（内部工具、文档）

发生概率：

• 高：5分（经常出问题）
• 中：3分（偶尔出问题）
• 低：1分（很少出问题）

技术复杂度：

• 高：5分（并发、状态、分布式）
• 中：3分（复杂规则、数据转换）
• 低：1分（简单CRUD、静态展示）

风险分数：

• 75-125：高风险（必须深测）
• 25-74：中风险（常规测试）
• 1-24：低风险（冒烟测试）

text

### 风险评估表

| 功能模块 | 业务影响 | 发生概率 | 技术复杂度 | 风险分数 | 风险等级 | 测试深度 |
|---------|---------|---------|-----------|---------|---------|---------|
| 支付模块 | 5 | 3 | 5 | 75 | 高 | 深测 |
| 用户模块 | 5 | 5 | 3 | 75 | 高 | 深测 |
| 通知模块 | 1 | 3 | 1 | 3 | 低 | 冒烟 |

## 测试资源分配

### 高风险区域（深测）

测试策略：

• 全场景覆盖
• 边界条件深挖
• 并发场景测试
• 异常恢复测试
• 性能压力测试
• 安全渗透测试

测试用例数：充足 测试时间：充足 测试人员：资深测试

text

### 中风险区域（常规测试）

测试策略：

• 主路径覆盖
• 关键分支覆盖
• 常见异常覆盖
• 基础边界测试

测试用例数：适中 测试时间：适中 测试人员：初中级测试

text

### 低风险区域（冒烟测试）

测试策略：

• 主路径冒烟
• 关键功能验证
• 基础回归测试

测试用例数：精简 测试时间：有限 测试人员：自动化

text

## 风险识别清单

### 变更风险检查
- [ ] 是否有模块重写/重构？
- [ ] 是否替换核心依赖？
- [ ] 是否涉及并发/缓存/异步？
- [ ] 是否涉及认证/授权/加密？

### 业务风险检查
- [ ] 是否涉及资金相关？
- [ ] 是否涉及安全相关？
- [ ] 是否涉及核心链路？
- [ ] 是否涉及数据敏感？

### 数据风险检查
- [ ] 是否涉及资金数据？
- [ ] 是否涉及用户数据？
- [ ] 是否涉及状态数据？
- [ ] 是否涉及累积数据？

### 集成风险检查
- [ ] 是否依赖方变更？
- [ ] 是否新接入第三方？
- [ ] 是否核心依赖？
- [ ] 是否实时调用？

### 技术风险检查
- [ ] 是否涉及并发处理？
- [ ] 是否涉及状态管理？
- [ ] 是否涉及数据一致性？
- [ ] 是否涉及性能敏感？

## 验收清单

风险评估完成后检查：
- [ ] 是否识别了所有变更类型？
- [ ] 是否评估了业务影响？
- [ ] 是否分析了数据风险？
- [ ] 是否识别了集成风险？
- [ ] 是否评估了技术复杂度？
- [ ] 风险等级是否合理？
- [ ] 测试资源分配是否恰当？