PHP8.4 工程化单测 Mock 第三方依赖做安全边界测试-php教程-PHP中文网

php 8.4 工程化中第三方依赖单测的核心是构建可验证的安全边界，需覆盖空/无效响应、恶意内容注入、越权伪造数据、协议漂移响应四类关键mock；并利用property hook、只读接口、rector校验等新特性强化契约，杜绝mock成为安全盲区。

php8.4 工程化单测 mock 第三方依赖做安全边界测试

PHP 8.4 工程化中，用 Mock 做第三方依赖的单测，核心不是“模拟接口调用”，而是借 Mock 构建可验证的安全边界——即在不触达真实外部服务的前提下，精准测试你代码对非法响应、异常状态、越权数据的拦截与处置能力。

Mock 不是随便返回个 200 就完事。必须按安全风险等级预设以下典型响应，再断言你的代码是否做出正确防御：

空/无效响应：如返回 null、空数组、缺失关键字段（'order_id' 不存在），验证是否抛出 InvalidArgumentException 或进入降级逻辑
恶意内容注入：如第三方返回的 user_name 字段含 <script>alert(1)</script>，断言你在输出前是否已调用 htmlspecialchars()
越权或伪造数据：如物流接口返回的 status 是 'delivered'，但 tracking_no 明显不属于当前用户订单，验证是否触发 IDOR 检查并拒绝处理
协议漂移响应：如文档约定返回 int 类型的 amount，实际返回字符串 "100.50"，测试 DTO 构造器是否因类型不匹配而抛异常（配合 PHP 8.4 readonly class + 强类型构造）

别只 mock 方法返回值。把 PHP 8.4 的语言能力嵌入 Mock 设计中，让测试本身成为契约的一部分：

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

为 Mock 对象定义 带 Property Hook 的属性，例如：
public string $apiResponse { set => $this->validateJson($value) ?: throw new SecurityException(); }
这样任何测试用例给它赋值非法 JSON，都会立即失败，无需等业务逻辑跑完
对接口类型提示使用 只读契约：
定义 interface ThirdPartyPayload { public readonly array $data; }，然后在被测方法签名中写 function handle(ThirdPartyPayload $payload): void
PHPUnit 创建 Mock 时强制实现该接口，且 IDE 和 PHPStan 能静态识别“不可篡改”语义
用 Rector 自动补全 Mock 安全校验：启用 php84: true 规则集，将旧版 willReturn($raw) 替换为带类型断言的链式写法，如 willReturn($this->safeJsonDecode($raw))

Mock 写得越“像真的一样”，越容易掩盖真实风险。守住以下底线：

不 mock 网络层，只 mock 协议层：不要用 HttpMockClient 模拟整个 HTTP 请求；而是直接 mock 第三方 SDK 的响应解析器（如 JsonResponseParser::parse()），确保校验逻辑独立于网络传输
所有 Mock 必须带断言副作用：每个 willReturn() 后，紧跟 ->method('validate')->withAnyParameters()->willReturn(true) 类似的调用验证，确认你的校验函数确实被执行了
禁止在 Mock 中做业务逻辑：比如不能在 willReturn() 里调用 filter_var() 或 password_hash()。这些应放在被测类内部，Mock 只负责提供原始输入，让边界校验暴露在测试视野下