| 软件检测这事儿，软件检测我最近被狠狠上了一课。软件检测上周我负责的软件检测一个内部工具上线前，测试同事跑过来，软件检测脸色铁青地丢给我一份报告——内存泄漏，软件检测连续运行72小时后，软件检测占用飙到2.3G，软件检测而我们的软件检测基线是500M以内。我盯着那串数字，软件检测后背发凉。软件检测这要是软件检测直接推给客户，对方IT部门用不了一周就能把投诉邮件塞爆我的软件检测收件箱。 检测不是软件检测“跑一遍看看能不能用”。那是软件检测最原始的阶段，相当于你买车只检查轮子转不转，软件检测不踩刹车不试气囊。真正的检测是模拟真实世界的残酷——用户不会按你的预设路径操作，他们会乱点，会开着十个窗口来回切，会在网络抖动的电梯里提交表单，甚至会把电脑休眠再唤醒，让你的程序在状态恢复时直接懵掉。 我见过最狠的一次案例，是在一个金融项目里。开发组信心满满，单元测试覆盖率90%，集成测试全绿。结果压测工具一上，并发用户数从1000提到3000，数据库连接池瞬间被打穿，响应时间从80毫秒直接跳到12秒。问题根源特别蠢——连接池的最大连接数写死成了500，而代码里每个查询都新开连接，用完不还。静态分析工具其实早就警告过“连接未关闭”，但那个警告被当成“噪音”忽略掉了。你看，检测工具不是没干活，是人没把检测结果当回事。 检测的层次感很重要。第一层是静态扫描，像体检抽血，查语法错误、查明显的坏味道，这层快但浅。第二层是单元测试和接口测试，相当于查器官功能，你得给每个函数喂各种边角料输入，看它会不会吐。第三层是性能测试和压力测试，这是查极限状态，看你在马拉松最后五公里会不会猝死。最后一层是安全检测，这层最容易被忽视，但往往最致命——SQL注入、越权访问、敏感信息硬编码，这些漏洞不爆则已，一爆就是公关灾难。 我自己的习惯是，每次提交代码前，先跑一遍增量静态扫描，把新增的警告全清零才敢推。这习惯是从一次惨痛教训里学来的——有一次我漏掉一个空指针检查，结果线上日志里每分钟刷几十条异常，用户没察觉，但数据库连接被异常处理逻辑反复占用，最后整个服务挂了。事后翻日志，那个静态扫描工具在第一轮就标了“可能为null”，我赶时间没看。 说到底，软件检测不是测试部门的专属责任。它应该嵌进开发的肌肉记忆里，像老司机上车就系安全带，不用想。工具永远只是放大镜，真正的检测能力是你愿不愿意在发布前，多花那几个小时，去假设自己是个恶意用户，是个手滑用户，是个网络差到爆的用户。检测的意义不在于证明“它没问题”，而在于找到“它什么时候会出问题”，然后提前把那个“什么时候”干掉。 |