基于风险的测试

---
name: risk-based-testing
description: Use this skill when you need to turn quality risks into prioritized test objectives, depth, methods, and scope tradeoffs; triggers include 基于风险的测试 and risk-based testing.
---

# 基于风险的测试

把已知质量风险、失败模式和交付约束转换为有证据依据的测试优先级、测试层级/方法、覆盖深度和范围取舍，输出 `RBT-##` 决策条目。它不生成完整测试策略、不替代风险分析或回归测试选择，也不执行测试。

## 何时使用

- 已有业务关键性、变更面、历史缺陷或失败模式，需要决定测试先后和深度。
- 资源、环境或时间有限，需要解释重点覆盖、抽样覆盖和暂不覆盖的风险。
- 需要在风险证据不完整时给出带假设、触发器和待确认项的受限测试计划。

不适用于只识别质量风险、编写完整测试策略、从已有测试资产选择执行集或宣布发布通过。

## 输出格式选项

- 默认输出 Markdown；用户要求表格、CSV 或 JSON 时，保留相同的证据、状态、影响、责任角色和验证字段。
- 不把结构化格式或静态清单写成执行、通过、批准或发布证据。

## 如何使用

1. 先读取本 Skill 的主 Prompt，并提供目标、范围、材料、环境和已有证据。
2. 按 Prompt 的输入审计和输出合同执行；缺少信息时交付带边界的初版。
3. 对每条发现保留来源、证据状态、影响、责任角色、关闭条件和验证方法。

## 工作方式

1. 阅读并遵循 `prompts/risk-based-testing.md`，先审计六类输入。
2. 将风险来源、失败模式、影响、可能性/不确定性和可探测性与测试目标关联。
3. 用 `RBT-##` 记录优先级、测试层级/方法、深度、范围取舍和所需证据。
4. 为有限资源场景说明停止条件、扩大范围触发器、剩余风险和 Human 待决事项。
5. 不把未经证据支持的数字、风险等级或测试建议写成事实或执行结果。

## 核心约束

- `RBT-##` 是测试决策建议，不是风险接受、质量分、覆盖率或发布批准。
- 风险评分必须说明证据和假设；没有数据时使用定性等级并标记不确定性，不制造伪精确数字。
- 不生成完整测试策略，不替代 `quality-risk-analysis` 的风险识别、`test-strategy` 的全局策略或回归测试选择。
- 不选择具体已有测试 ID，不执行测试，不编造环境、阈值、缺陷或通过结果。

## 参考文件

- 每次产出前必须阅读 `prompts/risk-based-testing.md`。
- 回归时读取 `evals/eval.yaml` 和匹配用例；配置和建议不证明真实风险已被控制。
- 触发验证使用 `evals/trigger-prompts.csv` 和 `evals/local-rules.json`；缺少 selection trace 时报告 `BLOCKED`。

## 最佳实践

- 优先处理高影响且可验证的缺口，使用最小实验或补证动作降低不确定性。
- 将事实、证据支持的推断、建议和 Human 决策分开，避免把假设升级为结论。

## 交付前自检

- [ ] 已记录已知事实、信息缺口、冲突、过期信息、范围外和假设。
- [ ] 每条 `RBT-##` 有风险来源、测试目标、方法/层级、深度、优先级依据和所需证据。
- [ ] 范围取舍有影响、停止条件、扩大触发器和剩余风险。
- [ ] 已区分测试建议、风险推断、执行证据和 Human 决策。
- [ ] 未把有限测试范围写成完整覆盖、零风险或发布批准。

## 常见误区

- 只列风险，不说明如何改变测试优先级和深度。
- 用风险分数替代证据和取舍理由。
- 把完整测试策略、回归测试集或已执行结果塞进本 Skill。
- 因时间紧就静默删除高风险区域，没有扩大触发器或剩余风险。