如何为应用代理认证建立自动化集成测试

代理认证测试需要区分受控测试桩与真实服务集成。测试桩可用虚构凭据验证本地认证逻辑；真实集成则需合法开通、与生产隔离的专用测试账号，并通过秘密管理系统注入正确凭据。未执行真实集成时，不能把虚构凭据测试描述为代理服务认证已验证。HTTP 代理的 407 与目标站 401 应分别记录；其他协议按其实际认证响应处理。

代理认证测试需要覆盖哪些场景

• 用例：场景 ｜ 输入：测试层与输入 ｜ 期望结果：预期/断言依据
• 用例：本地正确/错误凭据 ｜ 输入：受控测试桩中的虚构凭据 ｜ 期望结果：验证应用认证逻辑；不能代表真实代理服务成功
• 用例：真实服务正确凭据 ｜ 输入：专用、获准的测试账号和目标 ｜ 期望结果：代理/客户端证据与目标到达记录均符合预期
• 用例：错误凭据 ｜ 输入：真实测试账号的负向变体或受控测试桩 ｜ 期望结果：按协议记录代理挑战、客户端异常与目标是否到达
• 用例：过期、刷新与轮换 ｜ 输入：仅在提供商契约支持时测试 ｜ 期望结果：记录新连接凭据、已有连接策略及实际拒绝证据
• 用例：白名单 ｜ 输入：仅在对应产品场景支持时测试 ｜ 期望结果：按文档确认被绑定的客户端源 IP、配置方式和实际拒绝表现
• 用例：并发 ｜ 输入：按授权额度和测试范围执行 ｜ 期望结果：记录认证结果、连接泄漏和凭据串用证据
• 用例：日志脱敏 ｜ 输入：受控失败请求及多种日志路径 ｜ 期望结果：检查请求头、URL、异常信息和编码变体中是否泄露秘密

凭据生命周期、轮换窗口、已有隧道是否重新认证，都取决于服务提供商契约；未确认支持时，不应把它们写成必测功能。白名单也不是通用接入前提，仅在实际 API 提取等支持该方式的场景中验证，并区分访问代理的客户端源 IP 与代理向目标呈现的出口 IP。更换出口不保证必然返回 407。

401 与 407 分别代表哪一层认证失败

在 HTTP 代理场景中，407 是代理认证挑战，401 通常来自目标站的 HTTP 认证。HTTPS CONNECT 失败时，客户端库可能抛出异常而不是返回可供业务代码读取的普通 Response。测试应记录实际 HTTP 挑战头、客户端异常和目标到达证据；SOCKS 等其他协议使用对应的认证结果，不套用 407。

如果只断言“请求失败”，重试逻辑可能反复重试错误凭据，或者在业务鉴权失败时错误地更换代理账号。归因一乱，排查方向从一开始就偏了。

状态码、认证头和目标站记录构成分层断言

配置认证方式时需区分代理协议与代理层认证；HTTP 代理接入背景可参考HTTP 代理指南。客户端参数配置可查阅代理设置帮助。

断言可从以下几个方面组织：

• 响应来源：HTTP 代理挑战与目标站认证分别记录；SOCKS 按协议记录。
• 是否到达目标站：结合目标日志和代理/客户端连接证据确认，不由单个状态码推断。
• 重试次数与间隔：一次成功背后可能夹着多轮失败重试。
• 副作用：是否产生重复请求、是否在日志里泄漏凭据。

只断言“最终成功”会掩盖中间的重试与认证失败，到了生产环境会放大成延迟与限流。

为什么认证测试必须使用独立账号

测试桩使用虚构账号；真实集成使用合法开通、隔离生产账号和额度的专用测试凭据。凭据经秘密管理系统注入，不写进代码仓库。白名单测试仅在适用场景使用文档指定的授权客户端源 IP，不将其与代理的目标出口 IP 混淆。

只有在提供商明确支持凭据过期、刷新、轮换宽限或已有隧道重新认证时，才验证相应生命周期行为；按其契约记录旧/新凭据对新连接和已建连接的影响。HTTP 407 本身不保证能区分密码错误与凭据过期。

CI 如何区分环境波动和真实认证失败

认证用例应区分通过、断言失败和环境不可验证。必测真实集成在代理或目标不可达、缺少日志等情况下不能标为通过，应维持未验证或按既有业务豁免处理。只对允许重试的项目设置次数上限，并保留首次失败及重试记录。

• 失败类型：结果状态 ｜ 处理方式：处理方式
• 失败类型：通过 ｜ 处理方式：所有必需断言有执行证据
• 失败类型：断言失败 ｜ 处理方式：按门禁严重度处理并保留首次失败证据
• 失败类型：环境不可验证 ｜ 处理方式：必测项保持未验证/阻断，或引用已批准的业务豁免；不得显示为通过
• 失败类型：可重试波动 ｜ 处理方式：按预设次数重试，保留每次结果和最终裁决

FAQ

407 和 401 怎么快速区分？

看响应头与来源：407 带 Proxy-Authenticate、由代理返回，请求不会到达目标站；401 带 WWW-Authenticate、由目标站返回。两个状态码的含义完全不同。

为什么不能复用生产代理账号做自动化测试？

生产账号的凭据、配额和风控会影响真实业务。使用隔离测试桩时可用虚构账号；验证真实代理服务时则需合法开通、与生产隔离的专用测试账号，并由秘密管理系统注入。

认证测试要不要测并发？

要。并发下的凭据串号、连接复用错误、认证缓存失效，只在并发时暴露。先用低并发跑通，再按倍数加压，观察凭据串号是否复现——单连接反复测试发现不了这类问题。

认证用例接入 CI 后，应为实际支持的认证场景设定断言。客户端参数配置可查阅代理设置帮助。原 407 排障指南链接当前返回 404，不保留失效目标；排障说明应先依据实际提供商和客户端记录。