OAuth 2.0, JWT'ler ve token süresinin dolmasının test edilmesi

Çoğu kimlik doğrulama testi "a valid token works, an invalid one does not" aşamasında kalır ve bu da ilginç olan diğer yarısını test edilmemiş bırakır: isteğin başladığı sırada geçerli olan ve bitmeden önce süresi dolan token. Aşağıdaki API'ler gerçekten imzalanmış, gerçekten kısa ömürlü token'lar verir, bu nedenle yenileme ve süre dolma gerçekten gerçekleşen şeylerdir.

Bunu nasıl uygulayabilirsiniz?

1. Client credentials akışını tamamlayın ve aldığınız token ile korumalı bir uç noktayı çağırın.
2. Kısa ömürlü token’ın süresinin dolmasını bekleyin; istemcinin kullanıcı isteğini başarısız bırakmadan token’ı yenilediğini doğrulayın.
3. Refresh token’ı değiştirin; eski token’ı yeniden kullanıp reddedildiğini kontrol edin.
4. Authorization code akışını PKCE ile tamamlayın; yanlış code_verifier ile tekrar deneyin.
5. CLI ve televizyonlar için kullanılan device code akışını baştan sona deneyin.
6. Biçimi doğru, imzası yanlış JWT gönderin ve eksik token gibi reddedildiğini doğrulayın.

Denemek için API'ler

• Kimlik Doğrulama Oyun Alanı API'si— OAuth 2.0 flows — client credentials, auth code, refresh & expiry. (6 endpoints)
• Webhooks API — Register callbacks, trigger events, inspect & replay deliveries. (7 endpoints)
• Modern Kimlik API'si — OIDC discovery, PKCE, device codes & token lifecycle. (6 endpoints)

İlgili durum kodları

• 200 Tamam
• 400 Bad Request
• 401 Unauthorized
• 403 Forbidden

Diğer teknikler

• Sayfalama testi — Practise page-number and cursor pagination, and the edge cases that break clients: the last partial page, an out-of-range page, and a total count that disagrees with what you collected.
• Hız sınırlama testi — Trigger a real 429 with Retry-After and X-RateLimit headers, and verify your client backs off instead of retrying straight into the limit.
• İdempotans anahtar testi— Send the same write twice with an Idempotency-Key and confirm the operation happens once — the mechanism that stops a network retry becoming a duplicate charge.
• ETag ve If-Match testleri— Provoke a 412 Precondition Failed by writing with a stale ETag — the check that stops two clients silently overwriting each other.
• Webhook imza testi — Register a callback, trigger a delivery, verify its HMAC signature, and confirm a tampered payload is rejected.
• Negatif test — Provoke 400, 401, 403, 404, 409, 418, 422, 429, 500 and 503 deliberately, and check your client handles each one differently.
• Asenkron iş testi— Start a long-running job, follow the 202 and its Location header, and poll to completion — including the failure and timeout paths.

Başlangıç rehberi · 39 mock REST API’nin tamamı

Son güncelleme 16 Ekim 2026