> ⚠️ 本技能单独使用效果有限，建议配合完整技能集（12 步工作流）使用。安装：npx skills add Kokxi/qa-test-skills
测试风险直觉
核心原则
有经验的测试看到某些变更会本能地警觉——这不是玄学，是可以结构化的信号模型。
信号雷达扫出风险点 → 量化打分 → 按等级分配测试深度与资源。
1. 五大风险信号（速查）
| 信号 | 问什么 | 典型高危特征 |
|---|---|---|
| 变更信号 | 改了什么？多久改一次？ | 频繁变更的模块、核心链路上的改动 |
| 业务影响 | 出问题谁受损？ | 资金、安全、核心链路 |
| 技术复杂度 | 实现有多难？ | 并发、状态流转、分布式 |
| 数据风险 | 数据会怎样错？ | 迁移、对账、一致性、精度 |
| 集成风险 | 依赖谁？ | 第三方服务、外部支付/消息队列 |
> 五大信号的全量子项与检查清单见 references/risk-signals.md。
> 每个功能模块至少识别 5 个风险点。
2. 评分与阈值（全项目唯一定义）
风险分数 = 业务影响 × 发生概率 × 技术复杂度
| 因子 | 1 分 | 3 分 | 5 分 |
|---|---|---|---|
| 业务影响 | 内部工具/文档 | 内部管理/辅助功能 | 资金/安全/核心链路 |
| 发生概率 | 很少出问题 | 偶尔出问题 | 经常出问题 |
| 技术复杂度 | 简单 CRUD/静态展示 | 复杂规则/数据转换 | 并发/状态/分布式 |
三因子各取 1/3/5，取值域 1–125。
| 风险分数 | 等级 | 测试深度 | 资源占比（起步） |
|---|---|---|---|
| ≥ 45 | 高 | 深测 | ~60%（资深测试） |
| 15 – 44 | 中 | 常规 | ~30%（初中级） |
| ≤ 14 | 低 | 冒烟 | ~10%（自动化） |
> 历史修正：本技能此前同时存在 ≥15/8-14/≤7 与 ≥75/25-74/≤24 两套阈值，
> 输出示例还用了第三套 10 分制（10×8×7=560）——三者量纲不一致且互相矛盾。
> 现统一为上表一套。
3. 加载时机
| 什么时候读 | 读哪个 |
|---|---|
| 展开五大信号的全量子项 | references/risk-signals.md |
| 写风险评估表或按等级分组的报告 | assets/risk-matrix.md（评分表 + 报告模板 + 填写要求 + 自检） |
4. 产出
风险评估表：
| 风险 ID | 功能模块 | 业务影响 | 发生概率 | 技术复杂度 | 风险分数 | 风险等级 | 测试深度 |
|---|---|---|---|---|---|---|---|
| RISK-PAY-CONC-002 | 支付/并发回调 | 5 | 5 | 5 | 125 | 高 | 深测 |
| RISK-PAY-STOCK-001 | 支付/库存扣减 | 5 | 3 | 5 | 75 | 高 | 深测 |
| RISK-ORDER-EXPORT-005 | 订单/导出 | 3 | 3 | 3 | 27 | 中 | 常规 |
| RISK-NOTIFY-PUSH-004 | 通知/推送 | 1 | 3 | 1 | 3 | 低 | 冒烟 |
风险类型：STOCK 库存 / CALC 计算 / CONC 并发 / TIME 时序 / DATA 数据 /
SEC 安全 / PERF 性能 / VAL 校验 / PAY 支付
> 完整报告模板（按高/中/低分组 + 资源分配建议）见 assets/risk-matrix.md。
> 本技能不产出 9 列用例表——风险点转用例由 qa-test-case-design 完成。
5. 好示例 vs 坏示例
好：支付网关替换
✓ 变更类型：支付网关替换（高风险）
- 业务影响：资金相关，影响所有交易（5）
- 发生概率：第三方 SDK 替换，历史上回调格式出过问题（5）
- 技术复杂度：并发回调 + 幂等（5）
→ 125 分 → 高风险
→ 测试策略：全量回归 + 专项兼容 + 灰度验证
→ 资源：2 人专项 2 周，线上灰度观察 3 天
坏：支付网关替换
✗ 风险不大，简单测测就行了
- 没说替换了多少接口，没评估影响范围
- 没考虑资金安全，没考虑第三方不可用
- 没区分"灰度验证"和"全量上线"
→ 结果：上线后新网关回调格式不一致，订单状态不同步
6. 交付前自检
- [ ] 五大信号雷达（变更/业务/技术/数据/集成）全部扫过
- [ ] 每个功能模块至少 5 个风险点
- [ ] 每个风险点有
RISK-ID，类型取自 standards.md - [ ] 三个因子只取 1/3/5，风险分数 = 三者乘积且表中一致
- [ ] 风险等级按 §2 阈值表查得，无主观判定
- [ ] 三档测试深度不同质（不是全"深测"）
- [ ] 每个风险点的测试建议是具体动作，不是"重点关注"
- [ ] "看起来简单"的功能也扫过雷达——低直觉 ≠ 低风险
- [ ] 覆盖率已标注口径，无"全覆盖/100%"绝对化表述
