本章进度 9 / 18
50%
正文已完成
L122用六个反例击穿工具参数
为工具准备缺字段、错类型、越界、非法枚举、跨字段冲突和越权六类测试。
现在把“参数校验”用于一次具体操作，检查你能否独立做出并修正结果。
建议先完成同主题的理解与判断；本页不会锁课，可以边做边回补。
- 按本课练习说明准备真实材料
- 保留练习与复盘记录
参数验证不能只跑一条正确请求。今天要主动构造六类无效输入，并写清每条应在哪一层被拒绝。
能交付一组覆盖结构和业务边界的参数验证测试表。
核心概念
先把关键判断说清楚
结构反例
缺必填、错类型和非法枚举应由 Schema 在工具逻辑前拒绝。
业务反例
范围虽合法但违反跨字段或资源状态的请求，由业务验证拒绝。
授权反例
参数完全正确但用户无权限，是必须单独覆盖的安全测试。
案例拆解
请假申请接口的六次拒绝
工具参数包括 employee_id、start、end、leave_type 和 approval_id。
- 01
构造缺 employee_id、end 为数组、leave_type=holiday 三条结构反例。
- 02
构造 end 早于 start、天数超余额两条业务反例。
- 03
构造使用他人 employee_id 的越权反例。
案例结果
每条错误都在预期层被拒绝，并返回稳定错误码，没有进入正式申请。
提交前练习
现在轮到你
为一个工具制作六类参数反例表。
完成本课需要：完成以下内容用于本课收口。
内容会自动保存在当前设备
查看参考答案与评分标准
参考答案
issue_refund 六例分别命中 required、type、maximum、enum、amount>paid、非订单所有者；预期错误带 field；检查退款流水无新增且幂等记录未创建。
评分标准
- 六类反例齐全
- 拒绝层与错误一致
- 验证了失败没有产生副作用
本课收口 · 学习证据
留下完整学习证据
读完内容、完成练习、通过理解检查并留下 12 字以上总结，才记为已验证。
你现在更接近哪一种状态？
尚有必填项未完成，请补齐后再继续。
资料来源
继续核对与延伸阅读
本课内容最近更新于 。
- JSON Schema Core Specification 2020-12↗standard · 核对日期 2026-08-23
- OWASP Top 10 for Large Language Model Applications↗standard · 核对日期 2026-08-23
- Trustworthy agents in practice↗paper · 核对日期 2026-08-23