Testen von Idempotenzschlüsseln und sicheren Wiederholungsversuchen

Ein POST-Request mit Timeout stellt den schwierigsten Fall im Client-Design dar: Die Anfrage könnte erfolgreich gewesen sein, ohne dass dies erkennbar ist. Idempotenzschlüssel lösen dieses Problem, indem sie einen sicheren Wiederholungsversuch ermöglichen. Die folgenden APIs akzeptieren einen Idempotenzschlüssel-Header und geben die ursprüngliche Antwort erneut aus, anstatt die Operation erneut durchzuführen.

Wie man es übt

1. Erstellen Sie eine Ressource mit Idempotency-Key. Wiederholen Sie dieselbe Anfrage und prüfen Sie, dass ID und Inhalt der ersten Antwort erhalten bleiben.
2. Ändern Sie den Inhalt bei gleichem Schlüssel und untersuchen Sie die Fehlermeldung.
3. Senden Sie denselben Inhalt mit einem anderen Schlüssel und prüfen Sie, dass zwei unterschiedliche Ressourcen entstehen.
4. Wiederholen Sie eine Überweisung in der Bank-API mit demselben Schlüssel und prüfen Sie, dass sich der Saldo nur einmal ändert.
5. Erzeugen Sie mit der Fault-Injection-API einen Timeout. Wiederholen Sie mit demselben Schlüssel und prüfen Sie den Endzustand.

APIs, um es auszuprobieren

• Friends API — Characters, episodes & quotes from the coffee-house gang. (14 endpoints)
• Bank-API — Accounts, transfers & cursor pagination. Home of the 402. (9 endpoints)
• Fehlerinjektions-API — Latency, status codes, malformed payloads & flaky responses. (5 endpoints)

Betroffene Statuscodes

• 200 OK
• 201 Created
• 409 Conflict

Andere Techniken

• API-Paginierung testen — Practise page-number and cursor pagination, and the edge cases that break clients: the last partial page, an out-of-range page, and a total count that disagrees with what you collected.
• API-Ratenbegrenzung testen — Trigger a real 429 with Retry-After and X-RateLimit headers, and verify your client backs off instead of retrying straight into the limit.
• ETag- und If-Match-Test— Provoke a 412 Precondition Failed by writing with a stale ETag — the check that stops two clients silently overwriting each other.
• Webhook-Signaturprüfung — Register a callback, trigger a delivery, verify its HMAC signature, and confirm a tampered payload is rejected.
• OAuth- und JWT-Tests — Run real client-credentials, authorization-code and device-code flows, then test what your client does when the token expires mid-session.
• Negativer Test — Provoke 400, 401, 403, 404, 409, 418, 422, 429, 500 and 503 deliberately, and check your client handles each one differently.
• Asynchrone Jobtests— Start a long-running job, follow the 202 and its Location header, and poll to completion — including the failure and timeout paths.

Einstiegsanleitung · Alle 39 Mock-REST-APIs

Zuletzt aktualisiert 16. Oktober 2026