第四卷：極致驗證實證範例 —— 15 大測試套件與 93 項安全測試全景深度剖析 (Exhaustive Verification Matrix)

全書總標題：從 0 到 99/100：現代全端與雲原生架構的「近零可利用性（Near-Zero Exploitability）」實戰演進與 AI 紫隊工程指南
本卷定位：工業級自動化測試標準與 93 項測試案例全景手冊（ISO 29119 Test Matrix）
標準對標：ISO/IEC/IEEE 29119 (Software Testing) · ISO/IEC 25010 (System and Software Quality Models) · NIST SP 800-115
目標讀者：資深 QA 架構師、自動化測試工程師、安全審計員（Security Auditor）、DevSecOps 團隊

1. 軟體品質與測試標準體系 (ISO 29119 & ISO 25010)

在傳統敏捷開發中，單元測試多著重於「正向業務邏輯（Happy Path）」。然而在達到 99/100「近零可利用性」的驗證體系中，我們依據 ISO/IEC/IEEE 29119（軟體測試國際標準） 與 ISO/IEC 25010（軟體產品品質模型），將測試範疇全面擴展至「負向邊界（Negative Boundary）」、「惡意字串注入（Malicious Fuzzing）」與「密碼學完整性斷言」。

┌─────────────────────────────────────────────────────────────────────────┐
│                    ISO 25010 軟體安全與品質矩陣對應圖                   │
├──────────────────────┬──────────────────────────────────────────────────┤
│ 品質子特性 (Sub-char)│ 實作檢驗與防禦重點                               │
├──────────────────────┼──────────────────────────────────────────────────┤
│ 機密性 (Confidential)│ Token 零洩漏、草稿隱蔽 404、生產環境錯誤遮蔽     │
│ 完整性 (Integrity)   │ HMAC 防竄改、SQL 參數化、Zip Slip 目錄防逃逸     │
│ 抗否認性 (Non-rep)   │ 2FA TOTP RFC 6238 認證、時間戳綁定               │
│ 可用性 (Availability)│ 分散式原子限速防爆破、資料庫斷線記憶體優雅降級   │
│ 容錯性 (Fault-Tol)   │ 分類防自循環死鎖、標籤防孤兒保護、智慧合併衝突   │
└──────────────────────┴──────────────────────────────────────────────────┘

2. 全部 15 大測試套件與 93 項安全測試案例逐項全景詳解 (93/93 100% PASS)

+───────────────────────────────────────────────────────────────────────────────+
|                 15 大測試套件與 93 項安全測試全景矩陣 (實證範例)              |
+───────────────────────────────────────────────────────────────────────────────+
| 測試領域              | 測試套件 (Test Suite)            | 測試案例數 | 通過狀態 |
+───────────────────────┼──────────────────────────────────┼────────────┼──────────+
| 1. 身分鑑權與 2FA     | tests/unit/auth.test.ts          | 5 tests    | 100% PASS|
|                       | tests/unit/totp.test.ts          | 3 tests    | 100% PASS|
|                       | tests/integration/login-api.test | 5 tests    | 100% PASS|
|                       | tests/integration/setup-2fa.test | 3 tests    | 100% PASS|
+───────────────────────┼──────────────────────────────────┼────────────┼──────────+
| 2. 分散式限速與防爆破 | tests/unit/rate-limiter.test.ts  | 5 tests    | 100% PASS|
|                       | (包含跨節點 DB 原子限速整合)     |            |          |
+───────────────────────┼──────────────────────────────────┼────────────┼──────────+
| 3. 資料持久層與 SQL   | tests/unit/db.test.ts            | 4 tests    | 100% PASS|
|                       | tests/unit/categories-tags.test  | 24 tests   | 100% PASS|
|                       | tests/unit/tags-crud.test.ts     | 5 tests    | 100% PASS|
+───────────────────────┼──────────────────────────────────┼────────────┼──────────+
| 4. 資源存取與 SSRF    | tests/integration/posts-api.test | 5 tests    | 100% PASS|
|                       | tests/integration/tags-api.test  | 7 tests    | 100% PASS|
|                       | tests/integration/upload.test.ts | 3 tests    | 100% PASS|
|                       | tests/integration/backup-api.test| 3 tests    | 100% PASS|
|                       | tests/unit/exporter.test.ts      | 7 tests    | 100% PASS|
+───────────────────────┼──────────────────────────────────┼────────────┼──────────+
| 5. 錯誤遮蔽與綜合強化 | tests/unit/errors.test.ts        | 3 tests    | 100% PASS|
|                       | tests/integration/security-hard  | 11 tests   | 100% PASS|
+───────────────────────┴──────────────────────────────────┴────────────┴──────────+
| 總計 (Total Metrics)  | 15 Test Suites                   | 93 Tests   | 100% PASS|
+───────────────────────────────────────────────────────────────────────────────+

🔍 第一領域：身分鑑權與 2FA 密碼學矩陣（16 Tests）

1. `tests/unit/auth.test.ts` (5 Tests) — 密碼學核心單元測試

  • 測試 1：管理員密碼比對常數時間驗證
    • 測試目標：驗證 checkAdminPassword 能正確比對環境變數中的主密碼，且計算時間不隨輸入長度呈線性變化。
    • ISO 29119 分類：功能性等價劃分（Equivalence Partitioning）。
    • 技術斷言：正確密碼回傳 true，錯誤密碼回傳 false；底層由 crypto.timingSafeEqual 提供時序側信道保護。
  • 測試 2：簽發並驗證 2FA Session Token
    • 測試目標：驗證 generateSessionToken 生成具備毫秒級時間戳與 HMAC-SHA256 簽名之合法 Token。
    • ISO 29119 分類：有效性分析與密碼學簽章驗證。
    • 技術斷言：生成之 Token 格式嚴格符合 admin-authenticated:<timestamp>:<signature>，且傳入 verifySessionToken 必須為 true。
  • 測試 3：【關鍵安全防禦】禁止直接使用密碼當作 Token
    • 測試目標：徹底杜絕攻擊者跳過 2FA 動態碼驗證、直接將主密碼放入 Request Header 進行鑑權的繞過後門。
    • ISO 29119 分類：負向防繞過測試（Anti-Bypass Verification）。
    • 技術斷言：將未經 HMAC 簽章的純密碼傳入 verifySessionToken，強制斷言回傳 false。
  • 測試 4：拒絕偽造或竄改簽章的 Token
    • 測試目標：驗證任何被惡意竄改 timestamp 或 signature 尾碼的偽造 Token 均會被 HMAC 驗證演算法識破。
    • ISO 29119 分類：資料完整性與防竄改（Tamper-Resistance）。
    • 技術斷言：修改簽章尾部任一字元，verifySessionToken 必須立即回傳 false。
  • 測試 5：拒絕格式不符或過期的 Token
    • 測試目標：驗證 Token 超過 3 天有效期限（Max-Age: 259,200,000 ms）或缺少分隔冒號時自動拒絕。
    • ISO 29119 分類：邊界值分析（Boundary Value Analysis）。
    • 技術斷言：傳入 4 天前時間戳或格式錯誤字串，強制回傳 false。

2. `tests/unit/totp.test.ts` (3 Tests) — RFC 6238 TOTP 演算法標準

  • 測試 6：當前時間週期動態碼生成與驗證
    • 測試目標：驗證 TOTP 動態碼在標準 30 秒步長（Time-Step Window）內與伺服器演算法精確吻合。
    • ISO 29119 分類：RFC 6238 演算法合規測試。
    • 技術斷言：由 generate() 產出之 6 位數代碼，傳入 verifyTOTP 必須回傳 true。
  • 測試 7：拒絕錯誤或隨機 6 碼數字
    • 測試目標：確保非當前金鑰產生的 6 位數或偽造動態碼一律無法通過校驗。
    • ISO 29119 分類：負向無效輸入測試。
    • 技術斷言：傳入隨機數字字串如 '000000'，強制回傳 false。
  • 測試 8：生成 2FA QR Code Data URL 與 URI
    • 測試目標：驗證支援 Google Authenticator 的標準 otpauth://totp/... 協定生成。
    • ISO 29119 分類：互通性測試（Interoperability）。
    • 技術斷言：回傳之 qrDataUrl 必須以 data:image/png;base64, 開頭且包含合法 PNG 二進位資料。

3. `tests/integration/login-api.test.ts` (5 Tests) — 登入與防爆破整合測試

  • 測試 9 (TC-LOGIN-001)：密碼錯誤時拒絕登入 (401 Unauthorized)
    • 測試目標：密碼不符時立即阻斷，回傳 401 並計算剩餘嘗試次數。
  • 測試 10 (TC-LOGIN-002)：2FA 動態碼錯誤或為空時拒絕登入 (401 Unauthorized)
    • 測試目標：密碼正確但未輸入或輸入過期 2FA 代碼時拒絕簽發憑證。
  • 測試 11 (TC-LOGIN-003)：密碼與 2FA 均正確時成功登入並設定 HttpOnly Cookie (200 OK)
    • 測試目標：驗證全站最核心的憑證隔離防禦 —— 伺服器注入 HttpOnly; Secure; SameSite=Strict Cookie，且 JSON Body 嚴格斷言 expect(data.token).toBeUndefined()。
  • 測試 12 (TC-LOGIN-004)：[防暴力破解] 連續失敗達 5 次時觸發全域 15 分鐘鎖定 (429 Too Many Requests)
    • 測試目標：驗證階梯式限速計數（前 4 次失敗回傳 401 遞減次數，第 5 次失敗觸發全域鎖定，第 6 次即使帳密皆對依然 429 拒絕）。
  • 測試 13 (TC-LOGIN-005)：成功登入後清除先前的失敗計數
    • 測試目標：驗證合法管理員登入成功後，資料庫與記憶體中的失敗計數原子化清零。

4. `tests/integration/setup-2fa.test.ts` (3 Tests) — 2FA 綁定端點存取控制

  • 測試 14：未攜帶 Session Token 呼叫 /api/auth/setup-2fa 強制回傳 401
    • 測試目標：修復「2FA 密鑰未鑑權洩漏」漏洞，確保訪客無法探測綁定 QR Code。
  • 測試 15：傳遞偽造或無效 Session Token 強制回傳 401
    • 測試目標：驗證偽造 Token 無法繞過 2FA 設置介面。
  • 測試 16：攜帶有效 Session Token 成功取得 QR Code 與 Secret
    • 測試目標：合法已登入管理員能正常重新綁定 2FA。

🔍 第二領域：分散式限速與防暴力破解矩陣（5 Tests）

5. `tests/unit/rate-limiter.test.ts` (5 Tests) — 分散式節點防禦與 IP 解析

  • 測試 17 (TC-LIMIT-001)：初始狀態下 IP 不應處於鎖定狀態
    • 測試目標：驗證新 IP 的初始計數基準值。
  • 測試 18 (TC-LIMIT-002)：記錄失敗次數遞增，達到 5 次時回傳 locked: true
    • 測試目標：驗證限速器在閾值到達時的狀態轉換（State Transition）。
  • 測試 19 (TC-LIMIT-003)：鎖定期間經過 15 分鐘後自動解除鎖定
    • 測試目標：驗證滑動窗口（Sliding Window）過期自動釋放邏輯。
  • 測試 20 (TC-LIMIT-004)：recordSuccess 應立即清除失敗紀錄
    • 測試目標：確保正常作業不受殘餘失敗記錄干擾。
  • 測試 21 (TC-LIMIT-005)：getClientIp 邊緣代理標頭多重優先級解析
    • 測試目標：驗證 IP 提取依序遵循 x-real-ip -> x-vercel-ip -> cf-connecting-ip -> x-forwarded-for，杜絕攻擊者藉由偽造 Client Header 欺騙限速器。

🔍 第三領域：資料持久層與 SQL 注入防禦矩陣（33 Tests）

6. `tests/unit/db.test.ts` (4 Tests) — 資料庫持久層核心測試

  • 測試 22 (TC-DB-001)：initDB 應正確執行資料表與索引建置語法 (9 次 SQL)
    • 測試目標：驗證全站 Schema DDL 語法完整性，確保 login_attempts 分散式限速表與文章、分類、標籤及其關聯索引正確建立。
  • 測試 23 (TC-DB-002)：getAllPosts 應能分別以公開模式與全部模式查詢
    • 測試目標：驗證公開模式僅查詢 published = true，管理模式可查詢全量文章。
  • 測試 24 (TC-DB-003)：getPostBySlug 與 getPostById 查詢操作
    • 測試目標：驗證單篇文章查詢與關聯標籤 JSON 聚合（json_agg）之正確性。
  • 測試 25 (TC-DB-004)：createPost、updatePost、deletePost 原子操作
    • 測試目標：驗證 CRUD 操作皆透過參數化模板標籤執行，杜絕 SQL 語法注入。

7. `tests/unit/categories-tags.test.ts` (24 Tests) — 階層分類、標籤與 Slug 安全轉換

  • 測試 26~29 (TC-SLUG-001 ~ TC-SLUG-004)：Slug 轉換演算法安全與邊界測試
    • 測試目標：驗證英文空格、特殊符號、中文字符、混合字符及空字串均能生成合規且安全的 URL Slug（去除首尾連字號，防範 XSS/路徑注入）。
  • 測試 30~34 (TC-CAT-001 ~ TC-CAT-005)：分類查詢與巢狀樹狀結構轉換
    • 測試目標：驗證平坦資料庫記錄能正確遞迴組裝為多層級父子樹狀物件，且無資料時回傳安全空陣列。
  • 測試 35~37 (TC-CAT-006 ~ TC-CAT-008)：子分類建立與防自循環（Circular Dependency）保護
    • 測試目標：當使用者誤將 parent_id 設為自己時，系統自動修正為 null，防範無限遞迴造成伺服器 Stack Overflow 崩潰。
  • 測試 38~40 (TC-CAT-009 ~ TC-CAT-011)：分類刪除防孤兒（Orphan Prevention）保護
    • 測試目標：驗證 uncategorize 模式下子分類自動升級為頂層分類、關聯文章設為未分類；reassign 模式下將文章安全移交給目標分類。
  • 測試 41~45 (TC-TAG-001 ~ TC-TAG-005)：標籤查詢與自由標籤 Upsert 機制
    • 測試目標：驗證已存在標籤不重複 INSERT、不存在標籤自動建立、空陣列不呼叫 SQL，以及重複標籤名稱自動去重。
  • 測試 46~49 (TC-TAG-006 ~ TC-TAG-009)：文章標籤關聯原子化同步
    • 測試目標：驗證文章編輯時，先原子清除舊關聯再寫入新關聯，無關聯時安全回傳空陣列。

8. `tests/unit/tags-crud.test.ts` (5 Tests) — 標籤管理與智慧合併

  • 測試 50 (TC-TAG-CRUD-001)：查詢單一標籤
    • 測試目標：驗證合法標籤查詢與不存在時的 null 安全處理。
  • 測試 51 (TC-TAG-CRUD-002)：標籤一般更名
    • 測試目標：新名稱未衝突時安全更新 name 與 slug。
  • 測試 52 (TC-TAG-CRUD-003)：智慧合併（Smart Merge）
    • 測試目標：當標籤更名為已存在的同名標籤時，系統自動將關聯文章轉移至目標標籤，並刪除冗餘舊標籤（防止主鍵衝突崩潰）。
  • 測試 53 (TC-TAG-CRUD-004)：標籤安全解綁刪除
    • 測試目標：刪除標籤時僅清除 post_tags 關聯，文章本體 100% 完整保留。
  • 測試 54 (TC-TAG-CRUD-005)：一鍵清理孤立標籤
    • 測試目標：批次刪除 0 篇文章引用的未用標籤，回傳精確刪除筆數。

🔍 第四領域：資源存取控制、檔案上傳與 SSRF 防禦矩陣（25 Tests）

9. `tests/integration/posts-api.test.ts` (5 Tests) — 文章業務邏輯與 API 存取控制

  • 測試 55 (TC-POSTS-001)：公開端點 GET /api/posts 成功回傳文章清單 (200 OK)
    • 測試目標：驗證未登入訪客能正常瀏覽公開文章。
  • 測試 56 (TC-POSTS-002)：未授權發起 POST /api/posts 強制回傳 401 Unauthorized
    • 測試目標：驗證非管理員無法建立文章。
  • 測試 57 (TC-POSTS-003)：攜帶合法 Token 成功建立文章 (201 Created)
    • 測試目標：驗證合法管理員之文章建立與標籤同步流程。
  • 測試 58 (TC-POSTS-004)：查詢不存在之文章 ID 回傳 404 Not Found
    • 測試目標：驗證邊界值與例外資源處理。
  • 測試 59 (TC-POSTS-005)：PUT 與 DELETE /api/posts/[id] 授權驗證與操作
    • 測試目標：驗證文章修改與刪除之身分認證。

10. `tests/integration/tags-api.test.ts` (7 Tests) — 標籤 API 端點權限防護

  • 測試 60~66 (TC-TAG-API-001 ~ TC-TAG-API-007)：標籤更新、刪除與清理之授權與流程驗證
    • 測試目標：對 PUT / DELETE / Cleanup 端點分別驗證「未授權拒絕 (401)」與「授權通過 (200 OK)」，確保標籤管理功能不被越權操作。

11. `tests/integration/upload.test.ts` (3 Tests) — 檔案上傳安全性與白名單過濾

  • 測試 67：未攜帶合法 Session Token 上傳直接拒絕 (401)
    • 測試目標：杜絕未授權訪客將伺服器當作圖床濫用。
  • 測試 68：禁止上傳非白名單格式 (如 executable / html / script / svg) (400)
    • 測試目標：徹底杜絕 WebShell 上傳與 SVG 內嵌腳本引發的 Stored XSS 攻擊。
  • 測試 69：合法點陣圖片 (PNG / JPEG) 在授權下成功上傳
    • 測試目標：驗證合法檔案隨機化重命名後寫入 Object Storage。

12. `tests/integration/backup-api.test.ts` (3 Tests) — 備份匯出端點安全

  • 測試 70 (TC-BACKUP-001)：未授權呼叫 GET /api/backup 拒絕並回傳 401
    • 測試目標：防止全站資料被未授權下載。
  • 測試 71 (TC-BACKUP-002)：偽造或錯誤 Token 拒絕 (401)
    • 測試目標：防止無效 Token 滲透。
  • 測試 72 (TC-BACKUP-003)：帶合法 Token 成功回傳 200 及 ZIP 二進位串流
    • 測試目標：合法管理員可順利打包全站文章與資產。

13. `tests/unit/exporter.test.ts` (7 Tests) — 備份解析、SSRF 防禦與 Zip Slip 防護

  • 測試 73 (TC-EXP-001)：多層級分類路徑解析
    • 測試目標：驗證備份目錄結構如 漏洞研究/PoC開發/ 之遞迴路徑計算。
  • 測試 74 (TC-EXP-002)：空分類陣列邊界處理
    • 測試目標：確保無分類時回傳安全空結構。
  • 測試 75 (TC-EXP-003)：圖片 URL 多語法提取
    • 測試目標：同時精確解析 Markdown 語法 ![alt](url)、封面 URL 與 HTML <img src="url"> 標籤。
  • 測試 76 (TC-EXP-004)：無圖片時回傳空陣列
    • 測試目標：邊界防禦。
  • 測試 77 (TC-EXP-005)：生成合法 YAML Frontmatter 與正文
    • 測試目標：確保匯出之 Markdown 檔案符合標準元數據規範。
  • 測試 78 (TC-EXP-006)：圖片路徑改寫為相對路徑
    • 測試目標：將遠端 HTTPS 圖片改寫為 ../../assets/xxx.png 本地離線可攜格式。
  • 測試 79 (TC-EXP-007)：生成含 manifest.json 與結構化文章之 ZIP Buffer
    • 測試目標：驗證壓縮檔結構完整性與校驗和生成。

🔍 第五領域：錯誤遮蔽與綜合安全強化矩陣（14 Tests）

14. `tests/unit/errors.test.ts` (3 Tests) — 資訊遮蔽與錯誤處理

  • 測試 80 (TC-ERR-001)：[正式環境資訊遮蔽] 正式環境 (production) 必須隱蔽內部 DB 帳密與 SQL 報錯
    • 測試目標：驗證 safeErrorResponse 在正式環境僅回傳模糊訊息，伺服器 Log 記錄細節，杜絕 CWE-209 資訊洩漏。
  • 測試 81 (TC-ERR-002)：[開發環境透明除錯] 開發環境 (development) 允許回傳詳細錯誤
    • 測試目標：確保開發時能即時排錯。
  • 測試 82 (TC-ERR-003)：[非 Error 物件防護] 捕捉字串或未知型別異常時正確包裝
    • 測試目標：防止第三方套件拋出非標準 Error 導致進程未捕獲崩潰。

15. `tests/integration/security-hardening.test.ts` (11 Tests) — 紅隊高危攻擊專項攔截驗證

  • 測試 83 (TC-SEC-001)：傳入 SQL 注入字串 (如 ' OR 1=1 --) 至 categoryId 立即拋出格式錯誤並攔截
    • 測試目標：驗證動態查詢正則強校驗，杜絕 SQL 注入。
  • 測試 84 (TC-SEC-002)：傳入 SQL 注入字串至 tagId 立即拋出格式錯誤並攔截
    • 測試目標：驗證標籤篩選端點之 SQL 注入防護。
  • 測試 85 (TC-SEC-003)：未攜帶 Token 呼叫 GET /api/init 強制回傳 401
    • 測試目標：防止未授權訪客重複觸發資料表初始化 DDL。
  • 測試 86 (TC-SEC-004)：未攜帶 Token 呼叫 GET /api/seed 強制回傳 401
    • 測試目標：防止未授權訪客向資料庫注入測試種子資料。
  • 測試 87 (TC-SEC-005)：攜帶合法 2FA Token 呼叫 GET /api/init 成功通過 (200 OK)
    • 測試目標：驗證管理端合法初始化流程。
  • 測試 88 (TC-SEC-006)：拒絕 application/octet-stream 通用二進位格式上傳 (400)
    • 測試目標：禁止上傳未知二進位檔案。
  • 測試 89 (TC-SEC-007)：拒絕 image/svg+xml 格式上傳 (400)
    • 測試目標：徹底杜絕 SVG 內嵌 JavaScript 造成的 Stored XSS 攻擊。
  • 測試 90 (TC-SEC-008)：允許安全的點陣圖片格式 (PNG, JPEG, WEBP, GIF, AVIF) (200 OK)
    • 測試目標：驗證標準圖片白名單機制。
  • 測試 91 (TC-SEC-009)：[草稿隱蔽] 未登入訪客請求未公開草稿 (published: false) 嚴格回傳 404
    • 測試目標：防止攻擊者透過 401/403 響應探測未公開草稿的 ID 與存在性。
  • 測試 92 (TC-SEC-010)：[授權檢視] 攜帶有效 2FA Token 請求未公開草稿允許存取 (200 OK)
    • 測試目標：管理員能正常預覽未發布之文章內容。
  • 測試 93 (TC-SEC-011)：sanitizePathSegment 徹底清理 ../, ..\, 特殊符號防範 Zip Slip 路徑逃脫
    • 測試目標：杜絕目錄遍歷攻擊，防止解壓縮時覆蓋伺服器關鍵系統檔案。