Основы HTTP

Updated Jul 2026

Каждый API-тест, каждый шаг автоматизации браузера и каждая сессия отладки на сетевом уровне зависят от понимания HTTP. Это не теория — это протокол, на котором ваши тесты общаются каждый раз при взаимодействии с веб-приложением.

Методы HTTP

Что означает идемпотентность для тестирования

Идемпотентный запрос даёт одинаковый результат, независимо от того, отправите вы его один или десять раз. Это важно для логики повторных попыток и надёжности тестов:

• PUT /users/123 {"name": "Alice"} — отправьте 10 раз, пользователь по-прежнему называется "Alice"
• POST /users {"name": "Alice"} — отправьте 10 раз, вы можете получить 10 пользователей (или 409 Conflict, если email уникален)
• DELETE /users/123 — первый вызов удаляет пользователя, последующие возвращают 404 (но состояние то же: пользователь удалён)

Что тестировать для каждого метода

# GET: verify response content and caching
def test_get_user(api):
    r = api.get("/users/1")
    assert r.status_code == 200
    assert r.headers["Content-Type"] == "application/json"
    assert "id" in r.json()

# POST: verify creation and response
def test_create_user(api):
    r = api.post("/users", json={"name": "Alice", "email": "alice@test.com"})
    assert r.status_code == 201
    assert "id" in r.json()
    # Verify the user actually exists
    get_r = api.get(f"/users/{r.json()['id']}")
    assert get_r.status_code == 200

# PUT: verify full replacement
def test_update_user(api):
    r = api.put("/users/1", json={"name": "Bob", "email": "bob@test.com"})
    assert r.status_code == 200
    # Verify ALL fields are what you sent (PUT replaces everything)
    user = api.get("/users/1").json()
    assert user["name"] == "Bob"

# DELETE: verify removal
def test_delete_user(api):
    r = api.delete("/users/1")
    assert r.status_code == 204
    # Verify the user is gone
    get_r = api.get("/users/1")
    assert get_r.status_code == 404

Коды состояния HTTP

Коды состояния, которые должен знать QA-инженер

Заголовки HTTP

Заголовки несут метаданные о запросе и ответе. Несколько заголовков критичны для тестирования.

Заголовки запроса для установки

Заголовки ответа для проверки

def test_security_headers(api):
    r = api.get("/")
    # Security headers should be present
    assert "X-Content-Type-Options" in r.headers
    assert r.headers["X-Content-Type-Options"] == "nosniff"
    assert "X-Frame-Options" in r.headers
    assert "Strict-Transport-Security" in r.headers

def test_cors_headers(api):
    r = api.options("/api/users", headers={
        "Origin": "https://app.example.com",
        "Access-Control-Request-Method": "GET"
    })
    assert r.headers["Access-Control-Allow-Origin"] in [
        "https://app.example.com", "*"
    ]

Цикл запроса/ответа

Client                                  Server
  |                                       |
  |-- HTTP Request ---------------------->|
  |   Method: POST                        |
  |   URL: /api/users                     |
  |   Headers:                            |
  |     Content-Type: application/json    |
  |     Authorization: Bearer token       |
  |   Body: {"name": "Alice"}             |
  |                                       |
  |<-- HTTP Response --------------------|
  |   Status: 201 Created                |
  |   Headers:                           |
  |     Content-Type: application/json   |
  |     Location: /api/users/42          |
  |   Body: {"id": 42, "name": "Alice"} |

Что проверять на каждом уровне

1. Код состояния: сервер корректно принял/отклонил запрос?
2. Заголовки ответа: присутствуют ли заголовки безопасности? Корректен ли тип содержимого?
3. Тело ответа: данные соответствуют ожиданиям? Все ли поля присутствуют?
4. Время ответа: укладывается ли ответ в допустимую задержку?
5. Побочные эффекты: сервер действительно создал/обновил/удалил ресурс?

Параметры запроса и тело запроса

# Query parameters
r = requests.get(f"{base_url}/users", params={"page": 1, "limit": 10, "sort": "name"})
# Results in: GET /users?page=1&limit=10&sort=name

# Request body
r = requests.post(f"{base_url}/users", json={"name": "Alice", "email": "alice@test.com"})

Типы содержимого

# Sending form data (not JSON)
r = requests.post(f"{base_url}/login", data={"username": "alice", "password": "pass123"})

# Uploading a file
with open("document.pdf", "rb") as f:
    r = requests.post(f"{base_url}/upload", files={"file": f})

Практическое упражнение

1. Используйте curl или requests для выполнения запросов GET, POST, PUT и DELETE к публичному API (например, JSONPlaceholder)
2. Проверьте заголовки ответа для каждого запроса и верифицируйте Content-Type, коды состояния и заголовки безопасности
3. Напишите тест, проверяющий корректную обработку 401: отправьте запрос без аутентификации, с истёкшей аутентификацией и с невалидной аутентификацией
4. Напишите тест, проверяющий корректные заголовки CORS для кросс-доменного запроса

Ключевые выводы

• Знайте все методы HTTP и их характеристики идемпотентности
• Тестируйте как успешные коды состояния, так и коды ошибок (особенно 400, 401, 403, 404, 409, 429)
• Проверяйте заголовки ответа, а не только тело — заголовки безопасности, CORS, кеширование
• Понимайте разницу между параметрами запроса (GET) и телом запроса (POST/PUT)
• Несоответствие Content-Type вызывает скрытые сбои — всегда проверяйте