测试方法

浏览器工具的可复现检查清单。

本页是建议的测试步骤，不是已完成的测试报告。截图展示界面，不能证明网络行为、复制下载、跨浏览器兼容性或安全性。当前没有附带可核验这些结论的逐项测试记录。

ToolkitBox 维护 · 方法说明更新：2026 年 10 月 20 日

1. 先准备不含真实信息的合成样例

公开测试不会使用客户记录、生产密钥或真实私密日志。JSON 样例使用虚构姓名和保留域名；URL 使用 example.com；正则测试同时包含应匹配、不应匹配、Unicode、空输入和受控长度的长文本。这样既能复现错误，也不会把任何人的数据带进测试。

打开开发者工具后，清空 Network 面板、关闭缓存，再执行主要操作并检查新增请求。静态资源、统计脚本和用户输入传输必须分开记录。未观察到输入外传，只能支持该版本、该次操作的有限结论，不能排除延迟发送、编码传输或未来变化。SSL 检查是明确例外，因为查询公网证书必须经过服务器。

工具内部显示“成功”并不等于验证完成。应将 JSON 输出再次解析并与原始结构比较；将 Base64 输出解码并逐字节比较；将 URL 组件与浏览器原生 URL 解析器对照；将正则结果与预先写好的匹配表比较；SSL 结果则要与公网边缘实际提供的证书核对。

工具	主要样例	独立复核	不能证明的事情
JSON	嵌套对象、Unicode、错误逗号	重新解析并比较结构	语法正确不代表业务字段正确
Base64	UTF-8 与 URL 安全字符	解码后比较原始字节	编码不是加密
UUID	多组生成结果	版本和格式检查	唯一标识符不是权限或秘密
正则	正例、反例、Unicode、长输入	预期匹配表	浏览器与服务器正则引擎可能不同
文本对比	包含空白和数值变化的配置	人工确认真正变化	对比工具不能判断修改是否正确
URL	编码参数、片段、保留域名	原生 URL 解析器	解码后的参数仍可能包含秘密
SSL	已知公网 HTTPS 域名	公网边缘证书对照	必须经过联网查询
颜色	Hex、RGB、HSL、对比色	往返转换与 WCAG 比率	单个比率不能替代完整无障碍审查

复核应包括空输入、错误输入、重复执行、复制或下载、语言切换、键盘焦点和 390 CSS 像素宽的移动端。错误提示应说明失败原因，并且不能无故清空用户输入。导航、工具控件和广告也不能互相覆盖。

本地处理不能让本来敏感的数据自动变安全；合法 JSON 仍可能包含泄露的令牌；有效证书也可能部署在错误的服务上；通过颜色对比度并不代表所有状态都无障碍。ToolkitBox 把这些限制视为结果的一部分，而不是藏在页脚的小字。

发现行为变化时，应重新运行样例；内容修正记录在更新记录中说明重要修改。报告问题时，请把工具网址、浏览器版本、预期结果、实际结果和不含私密数据的样例发送到 contact@toolkitbox.org。

每次检查记录页面网址与版本、日期、浏览器及系统版本、合成输入、操作、预期结果、实际结果和证据位置。明确写出通过、失败或未测试；没有执行的项目不得写成通过。工具子域名的结果不能由导航页测试推导。