qa-risk-intuition

识别那些"看起来很简单但实际风险很高"的测试区域，帮你在有限的测试资源下做优先级判断。当测试时间不够、不知道应该重点测哪些功能、或者直觉告诉你某个功能可能有问题但说不上来为什么时，应当使用此技能。有经验的测试看到某些变更会本能地警觉——这不是玄学，是可以结构化的信号模型：变更/业务/技术/数据/集成五大风险信号雷达，量化打分后按等级分配测试深度与资源。每个风险点带唯一 ID（RISK-{模块}-{风险类型}-{序号}）。触发场景：风险评估、优先级、哪里风险高、风险信号、测试重点、资源分配、高优测试、需要判断测试重点、测试资源有限需要聚焦时。 Use when the user asks about: identifying high-risk areas that look simple — frequently changed modules, third-party dependencies, money and security paths, and historical defect hotspots.

kokxi@kokxi

Install

openclaw skills install @kokxi/qa-risk-intuition

⚠️ 本技能单独使用效果有限，建议配合完整技能集（12 步工作流）使用。安装：npx skills add Kokxi/qa-test-skills

测试风险直觉

核心原则

有经验的测试看到某些变更会本能地警觉——这不是玄学，是可以结构化的信号模型。

信号雷达扫出风险点 → 量化打分 → 按等级分配测试深度与资源。

1. 五大风险信号（速查）

信号	问什么	典型高危特征
变更信号	改了什么？多久改一次？	频繁变更的模块、核心链路上的改动
业务影响	出问题谁受损？	资金、安全、核心链路
技术复杂度	实现有多难？	并发、状态流转、分布式
数据风险	数据会怎样错？	迁移、对账、一致性、精度
集成风险	依赖谁？	第三方服务、外部支付/消息队列

五大信号的全量子项与检查清单见 references/risk-signals.md。 每个功能模块至少识别 5 个风险点。

2. 评分与阈值（全项目唯一定义）

text

风险分数 = 业务影响 × 发生概率 × 技术复杂度

因子	1 分	3 分	5 分
业务影响	内部工具/文档	内部管理/辅助功能	资金/安全/核心链路
发生概率	很少出问题	偶尔出问题	经常出问题
技术复杂度	简单 CRUD/静态展示	复杂规则/数据转换	并发/状态/分布式

三因子各取 1/3/5，取值域 1–125。

风险分数	等级	测试深度	资源占比（起步）
≥ 45	高	深测	~60%（资深测试）
15 – 44	中	常规	~30%（初中级）
≤ 14	低	冒烟	~10%（自动化）

历史修正：本技能此前同时存在 ≥15/8-14/≤7 与 ≥75/25-74/≤24 两套阈值，输出示例还用了第三套 10 分制（10×8×7=560）——三者量纲不一致且互相矛盾。现统一为上表一套。

3. 加载时机

什么时候读	读哪个
展开五大信号的全量子项	`references/risk-signals.md`
写风险评估表或按等级分组的报告	`assets/risk-matrix.md`（评分表 + 报告模板 + 填写要求 + 自检）

4. 产出

风险评估表：

风险 ID	功能模块	业务影响	发生概率	技术复杂度	风险分数	风险等级	测试深度
RISK-PAY-CONC-002	支付/并发回调	5	5	5	125	高	深测
RISK-PAY-STOCK-001	支付/库存扣减	5	3	5	75	高	深测
RISK-ORDER-EXPORT-005	订单/导出	3	3	3	27	中	常规
RISK-NOTIFY-PUSH-004	通知/推送	1	3	1	3	低	冒烟

风险类型：STOCK 库存 / CALC 计算 / CONC 并发 / TIME 时序 / DATA 数据 / SEC 安全 / PERF 性能 / VAL 校验 / PAY 支付

完整报告模板（按高/中/低分组 + 资源分配建议）见 assets/risk-matrix.md。 本技能不产出 9 列用例表——风险点转用例由 qa-test-case-design 完成。

5. 好示例 vs 坏示例

好：支付网关替换

text

✓ 变更类型：支付网关替换（高风险）
  - 业务影响：资金相关，影响所有交易（5）
  - 发生概率：第三方 SDK 替换，历史上回调格式出过问题（5）
  - 技术复杂度：并发回调 + 幂等（5）
  → 125 分 → 高风险
  → 测试策略：全量回归 + 专项兼容 + 灰度验证
  → 资源：2 人专项 2 周，线上灰度观察 3 天

坏：支付网关替换

text

✗ 风险不大，简单测测就行了
  - 没说替换了多少接口，没评估影响范围
  - 没考虑资金安全，没考虑第三方不可用
  - 没区分"灰度验证"和"全量上线"
  → 结果：上线后新网关回调格式不一致，订单状态不同步

6. 交付前自检

五大信号雷达（变更/业务/技术/数据/集成）全部扫过
每个功能模块至少 5 个风险点
每个风险点有 RISK- ID，类型取自 standards.md
三个因子只取 1/3/5，风险分数 = 三者乘积且表中一致
风险等级按 §2 阈值表查得，无主观判定
三档测试深度不同质（不是全"深测"）
每个风险点的测试建议是具体动作，不是"重点关注"
"看起来简单"的功能也扫过雷达——低直觉 ≠ 低风险
覆盖率已标注口径，无"全覆盖/100%"绝对化表述