尧图网站建设 
ECC Quarkus 验证循环实战指南用十阶段流水线把好 PR 与发布前的质量关【免费下载链接】ECCThe agent harness performance optimization system. Skills, instincts, memory, security, and research-first development for Claude Code, Codex, Opencode, Cursor and beyond.项目地址: https://gitcode.com/GitHub_Trending/ev/ECC本文系统讲解 ECC 仓库中以 [quarkus-verification](https://link.gitcode.com/i/613f1e0d335255f06a7d71138a6fe356) 技能沉淀的 Quarkus 验证循环Verification Loop它把「构建 → 静态分析 → 测试与覆盖率 → 安全扫描 → 原生编译 → 性能 → 健康检查 → 镜像 → 配置 → 文档」组织成一份可随时复用的阶段化检查清单供开发者在打开 Pull Request、完成大型重构、升级依赖以及向 staging/生产环境发布前按序执行。读完本文你将能复刻出这套端到端质量门禁并把关键阶段自动化进 CI/CD。技能定位一份面向 Agent 与人的可执行质量清单quarkus-verification是 ECC 技能体系中面向 Quarkus 项目的验证技能skill其定义元数据front matter明确其用途为Verification loop for Quarkus projects: build, static analysis, tests with coverage, security scans, native compilation, and diff review before release or PR见 SKILL.md 源文件。在 ECC 的目录组织里它与同族技能形成互补闭环quarkus-patterns讲解 Quarkus 惯用编码模式quarkus-tdd聚焦测试驱动开发流程quarkus-security专注安全配置与防护quarkus-verification负责交付前的整体验证与放行判断。manifests/install-modules.json 将skills/quarkus-verification与上述兄弟技能一并编入安装模块清单说明该技能被当作可随 ECC 一起安装的「标准验证闸门」对外提供本仓库同时维护了 西班牙语版、日文版 与 土耳其文版 等多语言译本方便不同语种的开发者或 Agent 直接加载使用。需要特别说明的是ECC 是一个技能与自动化仓库本文所有命令都假定你已进入某个真正的 Quarkus 工程目录包含pom.xml或build.gradle执行并具备对应的 JDK、Maven/Gradle、GraalVM 或容器环境。该技能给出的是放行门槛而非空谈的最佳实践。何时激活验证循环技能的适用时机非常明确对应 西班牙语文档 的 Cuándo Activar为某个 Quarkus 服务打开 Pull Request 之前大型重构或依赖升级完成之后向 staging 或生产环境部署前的预发布验证需要完整跑一遍 build → lint → test → 安全扫描 → 原生编译流水线需要确认测试覆盖率满足 80% 门槛需要验证 GraalVM 原生镜像兼容性。一句话概括触发原则凡是代码要离开本地、进入评审或生产通道之前先跑一遍这个循环。阶段一构建Build任何验证都从「能否编译通过」开始。技能给出 Maven 与 Gradle 两套等价命令# Maven跳过测试只验证编译与打包链路 mvn clean verify -DskipTests # Gradle跳过测试的等价目标 ./gradlew clean assemble -x test两个要点值得展开这里刻意先跳过测试是因为验证循环要求问题分层定位——先确认编译与资源处理没有错误再进入测试阶段避免「编译失败」与「测试失败」混在一起互相干扰mvn clean verify不止执行编译还会顺带触发 Maven 生命周期中verify之前的插件如 surefire/failsafe 之前绑定到 verify 阶段的各插件。技能明确强调若构建失败立即停止先修复编译错误不要带着红构建继续往下走。阶段二静态分析Static Analysis构建通过后用静态分析工具在「不运行程序」的前提下扫描代码异味与潜在缺陷。Maven 工具链Checkstyle、PMD、SpotBugsmvn checkstyle:check pmd:check spotbugs:check三个工具职责互补实际使用时可结合 pom 中对应插件的配置调整规则集与 failOnError 行为Checkstyle检查编码风格与约定一致性缩进、命名、import 顺序等PMD检测反模式与复杂代码如过高的圈复杂度cyclomatic complexitySpotBugs做字节码级缺陷分析能发现空指针解引用、资源未关闭等真实 Bug。SonarQube可选若已配置mvn sonar:sonar \ -Dsonar.projectKeymy-quarkus-project \ -Dsonar.host.urlhttp://localhost:9000 \ -Dsonar.login${SONAR_TOKEN}注意这里的projectKey需替换为你自己的工程标识SONAR_TOKEN应来自环境变量或 CI 密钥库而非硬编码。静态分析阶段应解决的常见问题技能列出四类高优先问题这些问题也应是 Code Review 时人工关注的同类信号未使用的 import 或变量复杂方法高圈复杂度潜在空指针解引用SpotBugs 标记的安全问题。阶段三测试与覆盖率Tests Coverage这是整个循环里最重的阶段。先看命令再看三种测试形态的写法。命令与覆盖率门槛# 运行全部测试 mvn clean test # 生成覆盖率报告 mvn jacoco:report # 强制覆盖率门槛80% mvn jacoco:check # 或 Gradle 等价目标 ./gradlew test jacocoTestReport jacocoTestCoverageVerification覆盖率报告生成于target/site/jacoco/index.html技能定义的验收口径是行覆盖率line coverage目标80%分支覆盖率branch coverage目标70%重点识别未被覆盖的关键路径如认证分支、异常路径、边界条件。80%/70% 是技能文档设定的默认目标团队可按业务风险自行调整jacoco:check中的 thresholds 配置。单元测试Mock 依赖、验证交互技能用 Quarkus 生态中最常见的组合——Mockito AssertJ——示范服务层测试。注释特别点出一个 Panache 细节persist()返回 void因此要用doNothing().when(...)打桩 verify(...)验证交互ExtendWith(MockitoExtension.class) class UserServiceTest { Mock UserRepository userRepository; InjectMocks UserService userService; Test void createUser_validInput_returnsUser() { var dto new CreateUserDto(Alice, aliceexample.com); doNothing().when(userRepository).persist(any(User.class)); User result userService.create(dto); assertThat(result.name).isEqualTo(Alice); verify(userRepository).persist(any(User.class)); } }集成测试真实数据库Testcontainers集成测试用QuarkusTest拉起完整 Quarkus 运行时并通过QuarkusTestResource注入真实数据库如 PostgresTestResource内部通常基于 Testcontainers 启动容器QuarkusTest QuarkusTestResource(PostgresTestResource.class) class UserRepositoryIntegrationTest { Inject UserRepository userRepository; Test Transactional void findByEmail_existingUser_returnsUser() { User user new User(); user.name Alice; user.email aliceexample.com; userRepository.persist(user); OptionalUser found userRepository.findByEmail(aliceexample.com); assertThat(found).isPresent(); assertThat(found.get().name).isEqualTo(Alice); } }要点Transactional确保测试数据在事务内回滚多个用例之间互不污染。API 测试REST Assured 打接口API 测试同样基于QuarkusTest用 REST Assured 直接对 HTTP 端点断言状态码与响应体覆盖正常路径与校验失败路径两个方向QuarkusTest class UserResourceTest { Test void createUser_validInput_returns201() { given() .contentType(ContentType.JSON) .body( {name: Alice, email: aliceexample.com} ) .when().post(/api/users) .then() .statusCode(201) .body(name, equalTo(Alice)); } Test void createUser_invalidEmail_returns400() { given() .contentType(ContentType.JSON) .body( {name: Alice, email: invalid} ) .when().post(/api/users) .then() .statusCode(400); } }注意 Java 15 文本块在测试中的使用能让 JSON 请求体保持可读。这三类测试分别对应三份不同的保障单测锁定业务逻辑、集成测试锁定数据访问、API 测试锁定契约与输入校验。阶段四安全扫描Security Scanning安全不是事后补救而是循环中独立的一整阶段包含依赖漏洞、扩展审计与 API 渗透三个层次。依赖漏洞扫描OWASP Dependency-Checkmvn org.owasp:dependency-check-maven:check扫描结果落在target/dependency-check-report.html按 CVE 编号列出存在已知漏洞的依赖及可升级版本。Quarkus 扩展安全审计# 检查存在已知问题的扩展版本 mvn quarkus:audit # 列出当前工程启用的全部扩展便于核对最小化原则 mvn quarkus:list-extensionsquarkus:audit会对照 Quarkus 官方的扩展漏洞情报检查工程依赖list-extensions帮助你发现是否引入了超出业务必需、从而扩大攻击面的扩展。OWASP ZAP 对 OpenAPI 的 API 渗透测试docker run -t ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \ -t http://localhost:8080/q/openapi \ -f openapiQuarkus 的smallrye-openapi扩展会自动暴露/q/openapi端点ZAP 直接以 OpenAPI 契约文件作为扫描入口-f openapi对全部声明的接口做主动安全测试。前提是应用已在localhost:8080运行且 OpenAPI 端点已启用。人工安全核对清单技能同时给出八条任何 Quarkus 服务上线前都该过一遍的检查项所有密钥放入环境变量绝不写进代码/配置文件入库所有端点都有输入校验Bean ValidationValid、NotNull、Email等已配置认证/授权如quarkus-oidc、quarkus-security-jpaCORS 正确配置按环境限定 origin 白名单安全响应头已设置如quarkus.http.header.*或 Vert.x 路由过滤器密码使用 BCrypt 哈希quarkus-security-jpa默认即 BCrypt防 SQL 注入统一走 Panache/JPA 参数化查询不用字符串拼接公开端点配置了速率限制。阶段五GraalVM 原生编译Native CompilationQuarkus 的核心卖点之一是秒级启动的原生镜像。这一阶段专门验证「能否从 JVM 形态编译为原生可执行文件」。编译与冒烟测试# 构建原生可执行文件 mvn package -Dnative # 或借助容器构建本地无需安装 GraalVM mvn package -Dnative -Dquarkus.native.container-buildtrue # 直接运行原生可执行文件 ./target/*-runner # 基础冒烟测试 curl http://localhost:8080/q/health/live curl http://localhost:8080/q/health/ready-Dquarkus.native.container-buildtrue是本阶段最实用的开关它让构建在容器内完成本地只要装 Docker无需安装完整 GraalVM 与 native-image 工具链。三类高频踩坑与对策技能总结了三类「JVM 上好好的、一打原生镜像就挂」的经典问题问题现象对策Reflection运行时ClassNotFoundException/ 属性丢失为动态加载的类补充反射配置Resources运行时读不到 classpath 资源用quarkus.native.resources.includes显式包含JNI调用本地库失败使用原生库时注册 JNI 类反射问题的标准解法是RegisterForReflection把运行期会被反射触达的类在编译期登记进镜像RegisterForReflection(targets {MyDynamicClass.class}) public class ReflectionConfiguration {}阶段六性能测试Performance Testing发布前用轻量压测工具 K6 验证接口在持续负载下的表现而不是只测「单次调用快不快」。// load-test.js import http from k6/http; import { check } from k6; export const options { stages: [ { duration: 30s, target: 50 }, // 30 秒内爬升到 50 并发 { duration: 1m, target: 100 }, // 维持 100 并发 1 分钟 { duration: 30s, target: 0 }, // 30 秒内降到 0 ], }; export default function () { const res http.get(http://localhost:8080/api/markets); check(res, { status is 200: (r) r.status 200, response time 200ms: (r) r.timings.duration 200, }); }k6 run load-test.jsstages的阶梯式并发设计爬坡 → 峰值 → 回落能暴露「并发升高后延迟劣化、错误率抬升」这类冷启动/连接池问题。技能强调压测要看趋势而非单点英文原版进一步明确了应持续跟踪的核心指标响应时间分位值 p50/p95/p99、吞吐量req/s、错误率、内存与 CPU 占用。示例中的/api/markets与 200ms 阈值需替换为你自己的端点与 SLO。阶段七健康检查Health Checks部署后第一时间验证服务「是否活着、是否就绪」# Liveness进程是否存活 curl http://localhost:8080/q/health/live # Readiness是否可接收流量依赖如 DB 是否就绪 curl http://localhost:8080/q/health/ready # 全部健康检查聚合视图 curl http://localhost:8080/q/health # 指标端点若已启用 microprofile-metrics curl http://localhost:8080/q/metrics健康检查在 Quarkus 中默认挂载在/q管理根路径下live与ready的拆分让 K8s 探针可以分别配置 livenessProbe 与 readinessProbe。技能英文版补充了预期响应的结构用于在脚本中做断言{ status: UP, checks: [ { name: Database connection, status: UP } ] }若加入quarkus-smallrye-health的数据库健康检查数据库不可用时checks中对应项即为DOWNready整体状态也会随之翻转为DOWN。阶段八容器镜像构建与镜像安全扫描# 构建容器镜像 mvn package -Dquarkus.container-image.buildtrue # 指定仓库、组与 tag mvn package \ -Dquarkus.container-image.buildtrue \ -Dquarkus.container-image.registrydocker.io \ -Dquarkus.container-image.groupmyorg \ -Dquarkus.container-image.tag1.0.0 # 本地运行容器做最后验证 docker run -p 8080:8080 myorg/my-quarkus-app:1.0.0镜像构建后还要对镜像本身做一次安全扫描捕捉基础镜像或安装层引入的漏洞# Trivy trivy image myorg/my-quarkus-app:1.0.0 # GrypeAnchore 出品 grype myorg/my-quarkus-app:1.0.0这里两个扫描器二选一即可重点是扫描对象从「依赖清单」升级为「可交付产物镜像」——依赖漏洞扫描阶段四与镜像扫描阶段八覆盖的是攻击面的不同位置。阶段九配置验证Configuration Validation“在别处能跑”不等于“在目标环境能跑”。Quarkus 的配置体系application.properties 环境变量 系统属性分层覆盖很容易出现「本地默认值上线后覆盖错误」的问题因此技能要求显式验证配置# 打印工程全部配置属性与来源 mvn quarkus:info # 运行时查看生效中的配置项来源dev 模式端点 curl http://localhost:8080/q/dev/io.quarkus.quarkus-vertx-http/config按环境逐项核对清单数据库 URL 按环境配置不要共享本地localhost默认值密钥外部化Vault、环境变量、K8s Secret不进application.properties版本库日志级别与生产环境匹配生产不打印 DEBUGCORS 来源按环境白名单设置速率限制已配置监控/链路追踪Tracing已启用。阶段十文档审查Documentation Review代码、行为与文档三者一旦脱节接手的下一个开发者或 Agent就会踩坑。收尾阶段检查OpenAPI/Swagger 文档是最新的查看/q/swagger-uiREADME 包含完整的环境配置说明API 变更已记录破坏性变更breaking changes有迁移指南配置属性已有文档说明。并导出 OpenAPI 契约留档curl http://localhost:8080/q/openapi -o openapi.json该文件既是 Swagger UI 的数据源也是前端、测试与文档自动化的单一事实来源。综合放行清单Verification Checklist技能在十个阶段之外把验收标准收敛成四组「上线前勾选」清单代码质量构建无警告通过静态分析干净无 high/medium 级问题代码符合团队约定PR 中无注释掉的代码与 TODO 遗留测试全部测试通过代码覆盖率 ≥ 80%集成测试使用真实数据库安全测试通过性能在可接受范围安全依赖无已知漏洞认证/授权已测试输入校验完整源码中无密钥安全响应头已配置部署原生编译成功容器镜像构建成功健康检查响应正常目标环境配置有效原生可执行文件可构建、原生测试通过、启动时间 100ms、内存占用可接受英文原版对原生镜像补充的验收项见 SKILL.md一键跑完全流程自动化验证脚本把十个阶段串成单个脚本适合本地交付前与 CI 中复用技能原文完整收录于 SKILL.md#!/bin/bash set -e echo Fase 1: Build mvn clean verify -DskipTests echo Fase 2: Static Analysis mvn checkstyle:check pmd:check spotbugs:check echo Fase 3: Tests Coverage mvn test jacoco:report jacoco:check echo Fase 4: Security Scan mvn org.owasp:dependency-check-maven:check echo Fase 5: Native Compilation mvn package -Dnative -Dquarkus.native.container-buildtrue echo All Phases Complete echo Review reports: echo - Coverage: target/site/jacoco/index.html echo - Security: target/dependency-check-report.html echo - Native: target/*-runnerset -e保证任一阶段失败立即中断——验证循环的设计哲学就是尽早失败、就地修复而不是把问题一路带进生产。接入 CI/CDGitHub Actions 示例本地脚本化之后进一步把核心阶段搬进 CI英文原版提供的 GitHub Actions 工作流见 SKILL.md让每次 push / PR 自动触发name: Verification on: [push, pull_request] jobs: verify: runs-on: ubuntu-latest steps: - uses: actions/checkoutv7 - name: Set up JDK 21 uses: actions/setup-javav5 with: java-version: 21 distribution: temurin - name: Cache Maven packages uses: actions/cachev6 with: path: ~/.m2 key: ${{ runner.os }}-m2-${{ hashFiles(**/pom.xml) }} - name: Build run: mvn clean verify -DskipTests - name: Test with Coverage run: mvn test jacoco:report jacoco:check - name: Security Scan run: mvn org.owasp:dependency-check-maven:check - name: Upload Coverage uses: codecov/codecov-actionv7 with: token: ${{ secrets.CODECOV_TOKEN }} files: target/site/jacoco/jacoco.xml三点说明工作流展示的是构建、覆盖率门槛与依赖安全扫描这三个在云端可稳定复现的阶段原生编译与 ZAP 渗透测试这类重活建议按需在带 Docker 的 runner 上单独开启JDK 版本与 actions 版本号应根据你的工程实际锁定。最佳实践与使用提醒技能文档英文版、西班牙语版收束的日常纪律恰好也是把它用好最关键的习惯每次 PR 前运行验证循环在 CI/CD 流水线中自动化而非仅靠人肉回忆发现问题立即修复不积累技术债保持覆盖率高于 80%定期升级依赖并复查安全扫描结果周期性执行原生编译测试防止「临发布才发现打不了 native」持续监控性能趋势单次压测的数字会过时趋势不会文档化破坏性变更为每个目标环境单独做配置校验。最后提醒两点边界其一本技能是给Quarkus 工程用的验证脚本ECC 仓库本身只承载技能定义与多语言译本并不包含可运行的 Quarkus 示例工程实际执行时请在你的 Quarkus 项目根目录运行其二文中所有命令涉及的项目名如my-quarkus-project、myorg/my-quarkus-app、端点路径/api/markets与性能阈值均为占位示例请替换为你工程的真实值与既定 SLO。把这份十阶段循环当作发布前放行的默认基线你的 PR 与上线将不再依赖运气。【免费下载链接】ECCThe agent harness performance optimization system. Skills, instincts, memory, security, and research-first development for Claude Code, Codex, Opencode, Cursor and beyond.项目地址: https://gitcode.com/GitHub_Trending/ev/ECC创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 ECC Quarkus 验证循环实战指南：用十阶段流水线把好 PR 与发布前的质量关
ECC Quarkus 验证循环实战指南用十阶段流水线把好 PR 与发布前的质量关【免费下载链接】ECCThe agent harness performance optimization system. Skills, instincts, memory, security, and research-first development for Claude Code, Codex, Opencode, Cursor and beyond.项目地址: https://gitcode.com/GitHub_Trending/ev/ECC本文系统讲解 ECC 仓库中以 [quarkus-verification](https://link.gitcode.com/i/613f1e0d335255f06a7d71138a6fe356) 技能沉淀的 Quarkus 验证循环Verification Loop它把「构建 → 静态分析 → 测试与覆盖率 → 安全扫描 → 原生编译 → 性能 → 健康检查 → 镜像 → 配置 → 文档」组织成一份可随时复用的阶段化检查清单供开发者在打开 Pull Request、完成大型重构、升级依赖以及向 staging/生产环境发布前按序执行。读完本文你将能复刻出这套端到端质量门禁并把关键阶段自动化进 CI/CD。技能定位一份面向 Agent 与人的可执行质量清单quarkus-verification是 ECC 技能体系中面向 Quarkus 项目的验证技能skill其定义元数据front matter明确其用途为Verification loop for Quarkus projects: build, static analysis, tests with coverage, security scans, native compilation, and diff review before release or PR见 SKILL.md 源文件。在 ECC 的目录组织里它与同族技能形成互补闭环quarkus-patterns讲解 Quarkus 惯用编码模式quarkus-tdd聚焦测试驱动开发流程quarkus-security专注安全配置与防护quarkus-verification负责交付前的整体验证与放行判断。manifests/install-modules.json 将skills/quarkus-verification与上述兄弟技能一并编入安装模块清单说明该技能被当作可随 ECC 一起安装的「标准验证闸门」对外提供本仓库同时维护了 西班牙语版、日文版 与 土耳其文版 等多语言译本方便不同语种的开发者或 Agent 直接加载使用。需要特别说明的是ECC 是一个技能与自动化仓库本文所有命令都假定你已进入某个真正的 Quarkus 工程目录包含pom.xml或build.gradle执行并具备对应的 JDK、Maven/Gradle、GraalVM 或容器环境。该技能给出的是放行门槛而非空谈的最佳实践。何时激活验证循环技能的适用时机非常明确对应 西班牙语文档 的 Cuándo Activar为某个 Quarkus 服务打开 Pull Request 之前大型重构或依赖升级完成之后向 staging 或生产环境部署前的预发布验证需要完整跑一遍 build → lint → test → 安全扫描 → 原生编译流水线需要确认测试覆盖率满足 80% 门槛需要验证 GraalVM 原生镜像兼容性。一句话概括触发原则凡是代码要离开本地、进入评审或生产通道之前先跑一遍这个循环。阶段一构建Build任何验证都从「能否编译通过」开始。技能给出 Maven 与 Gradle 两套等价命令# Maven跳过测试只验证编译与打包链路 mvn clean verify -DskipTests # Gradle跳过测试的等价目标 ./gradlew clean assemble -x test两个要点值得展开这里刻意先跳过测试是因为验证循环要求问题分层定位——先确认编译与资源处理没有错误再进入测试阶段避免「编译失败」与「测试失败」混在一起互相干扰mvn clean verify不止执行编译还会顺带触发 Maven 生命周期中verify之前的插件如 surefire/failsafe 之前绑定到 verify 阶段的各插件。技能明确强调若构建失败立即停止先修复编译错误不要带着红构建继续往下走。阶段二静态分析Static Analysis构建通过后用静态分析工具在「不运行程序」的前提下扫描代码异味与潜在缺陷。Maven 工具链Checkstyle、PMD、SpotBugsmvn checkstyle:check pmd:check spotbugs:check三个工具职责互补实际使用时可结合 pom 中对应插件的配置调整规则集与 failOnError 行为Checkstyle检查编码风格与约定一致性缩进、命名、import 顺序等PMD检测反模式与复杂代码如过高的圈复杂度cyclomatic complexitySpotBugs做字节码级缺陷分析能发现空指针解引用、资源未关闭等真实 Bug。SonarQube可选若已配置mvn sonar:sonar \ -Dsonar.projectKeymy-quarkus-project \ -Dsonar.host.urlhttp://localhost:9000 \ -Dsonar.login${SONAR_TOKEN}注意这里的projectKey需替换为你自己的工程标识SONAR_TOKEN应来自环境变量或 CI 密钥库而非硬编码。静态分析阶段应解决的常见问题技能列出四类高优先问题这些问题也应是 Code Review 时人工关注的同类信号未使用的 import 或变量复杂方法高圈复杂度潜在空指针解引用SpotBugs 标记的安全问题。阶段三测试与覆盖率Tests Coverage这是整个循环里最重的阶段。先看命令再看三种测试形态的写法。命令与覆盖率门槛# 运行全部测试 mvn clean test # 生成覆盖率报告 mvn jacoco:report # 强制覆盖率门槛80% mvn jacoco:check # 或 Gradle 等价目标 ./gradlew test jacocoTestReport jacocoTestCoverageVerification覆盖率报告生成于target/site/jacoco/index.html技能定义的验收口径是行覆盖率line coverage目标80%分支覆盖率branch coverage目标70%重点识别未被覆盖的关键路径如认证分支、异常路径、边界条件。80%/70% 是技能文档设定的默认目标团队可按业务风险自行调整jacoco:check中的 thresholds 配置。单元测试Mock 依赖、验证交互技能用 Quarkus 生态中最常见的组合——Mockito AssertJ——示范服务层测试。注释特别点出一个 Panache 细节persist()返回 void因此要用doNothing().when(...)打桩 verify(...)验证交互ExtendWith(MockitoExtension.class) class UserServiceTest { Mock UserRepository userRepository; InjectMocks UserService userService; Test void createUser_validInput_returnsUser() { var dto new CreateUserDto(Alice, aliceexample.com); doNothing().when(userRepository).persist(any(User.class)); User result userService.create(dto); assertThat(result.name).isEqualTo(Alice); verify(userRepository).persist(any(User.class)); } }集成测试真实数据库Testcontainers集成测试用QuarkusTest拉起完整 Quarkus 运行时并通过QuarkusTestResource注入真实数据库如 PostgresTestResource内部通常基于 Testcontainers 启动容器QuarkusTest QuarkusTestResource(PostgresTestResource.class) class UserRepositoryIntegrationTest { Inject UserRepository userRepository; Test Transactional void findByEmail_existingUser_returnsUser() { User user new User(); user.name Alice; user.email aliceexample.com; userRepository.persist(user); OptionalUser found userRepository.findByEmail(aliceexample.com); assertThat(found).isPresent(); assertThat(found.get().name).isEqualTo(Alice); } }要点Transactional确保测试数据在事务内回滚多个用例之间互不污染。API 测试REST Assured 打接口API 测试同样基于QuarkusTest用 REST Assured 直接对 HTTP 端点断言状态码与响应体覆盖正常路径与校验失败路径两个方向QuarkusTest class UserResourceTest { Test void createUser_validInput_returns201() { given() .contentType(ContentType.JSON) .body( {name: Alice, email: aliceexample.com} ) .when().post(/api/users) .then() .statusCode(201) .body(name, equalTo(Alice)); } Test void createUser_invalidEmail_returns400() { given() .contentType(ContentType.JSON) .body( {name: Alice, email: invalid} ) .when().post(/api/users) .then() .statusCode(400); } }注意 Java 15 文本块在测试中的使用能让 JSON 请求体保持可读。这三类测试分别对应三份不同的保障单测锁定业务逻辑、集成测试锁定数据访问、API 测试锁定契约与输入校验。阶段四安全扫描Security Scanning安全不是事后补救而是循环中独立的一整阶段包含依赖漏洞、扩展审计与 API 渗透三个层次。依赖漏洞扫描OWASP Dependency-Checkmvn org.owasp:dependency-check-maven:check扫描结果落在target/dependency-check-report.html按 CVE 编号列出存在已知漏洞的依赖及可升级版本。Quarkus 扩展安全审计# 检查存在已知问题的扩展版本 mvn quarkus:audit # 列出当前工程启用的全部扩展便于核对最小化原则 mvn quarkus:list-extensionsquarkus:audit会对照 Quarkus 官方的扩展漏洞情报检查工程依赖list-extensions帮助你发现是否引入了超出业务必需、从而扩大攻击面的扩展。OWASP ZAP 对 OpenAPI 的 API 渗透测试docker run -t ghcr.io/zaproxy/zaproxy:stable zap-api-scan.py \ -t http://localhost:8080/q/openapi \ -f openapiQuarkus 的smallrye-openapi扩展会自动暴露/q/openapi端点ZAP 直接以 OpenAPI 契约文件作为扫描入口-f openapi对全部声明的接口做主动安全测试。前提是应用已在localhost:8080运行且 OpenAPI 端点已启用。人工安全核对清单技能同时给出八条任何 Quarkus 服务上线前都该过一遍的检查项所有密钥放入环境变量绝不写进代码/配置文件入库所有端点都有输入校验Bean ValidationValid、NotNull、Email等已配置认证/授权如quarkus-oidc、quarkus-security-jpaCORS 正确配置按环境限定 origin 白名单安全响应头已设置如quarkus.http.header.*或 Vert.x 路由过滤器密码使用 BCrypt 哈希quarkus-security-jpa默认即 BCrypt防 SQL 注入统一走 Panache/JPA 参数化查询不用字符串拼接公开端点配置了速率限制。阶段五GraalVM 原生编译Native CompilationQuarkus 的核心卖点之一是秒级启动的原生镜像。这一阶段专门验证「能否从 JVM 形态编译为原生可执行文件」。编译与冒烟测试# 构建原生可执行文件 mvn package -Dnative # 或借助容器构建本地无需安装 GraalVM mvn package -Dnative -Dquarkus.native.container-buildtrue # 直接运行原生可执行文件 ./target/*-runner # 基础冒烟测试 curl http://localhost:8080/q/health/live curl http://localhost:8080/q/health/ready-Dquarkus.native.container-buildtrue是本阶段最实用的开关它让构建在容器内完成本地只要装 Docker无需安装完整 GraalVM 与 native-image 工具链。三类高频踩坑与对策技能总结了三类「JVM 上好好的、一打原生镜像就挂」的经典问题问题现象对策Reflection运行时ClassNotFoundException/ 属性丢失为动态加载的类补充反射配置Resources运行时读不到 classpath 资源用quarkus.native.resources.includes显式包含JNI调用本地库失败使用原生库时注册 JNI 类反射问题的标准解法是RegisterForReflection把运行期会被反射触达的类在编译期登记进镜像RegisterForReflection(targets {MyDynamicClass.class}) public class ReflectionConfiguration {}阶段六性能测试Performance Testing发布前用轻量压测工具 K6 验证接口在持续负载下的表现而不是只测「单次调用快不快」。// load-test.js import http from k6/http; import { check } from k6; export const options { stages: [ { duration: 30s, target: 50 }, // 30 秒内爬升到 50 并发 { duration: 1m, target: 100 }, // 维持 100 并发 1 分钟 { duration: 30s, target: 0 }, // 30 秒内降到 0 ], }; export default function () { const res http.get(http://localhost:8080/api/markets); check(res, { status is 200: (r) r.status 200, response time 200ms: (r) r.timings.duration 200, }); }k6 run load-test.jsstages的阶梯式并发设计爬坡 → 峰值 → 回落能暴露「并发升高后延迟劣化、错误率抬升」这类冷启动/连接池问题。技能强调压测要看趋势而非单点英文原版进一步明确了应持续跟踪的核心指标响应时间分位值 p50/p95/p99、吞吐量req/s、错误率、内存与 CPU 占用。示例中的/api/markets与 200ms 阈值需替换为你自己的端点与 SLO。阶段七健康检查Health Checks部署后第一时间验证服务「是否活着、是否就绪」# Liveness进程是否存活 curl http://localhost:8080/q/health/live # Readiness是否可接收流量依赖如 DB 是否就绪 curl http://localhost:8080/q/health/ready # 全部健康检查聚合视图 curl http://localhost:8080/q/health # 指标端点若已启用 microprofile-metrics curl http://localhost:8080/q/metrics健康检查在 Quarkus 中默认挂载在/q管理根路径下live与ready的拆分让 K8s 探针可以分别配置 livenessProbe 与 readinessProbe。技能英文版补充了预期响应的结构用于在脚本中做断言{ status: UP, checks: [ { name: Database connection, status: UP } ] }若加入quarkus-smallrye-health的数据库健康检查数据库不可用时checks中对应项即为DOWNready整体状态也会随之翻转为DOWN。阶段八容器镜像构建与镜像安全扫描# 构建容器镜像 mvn package -Dquarkus.container-image.buildtrue # 指定仓库、组与 tag mvn package \ -Dquarkus.container-image.buildtrue \ -Dquarkus.container-image.registrydocker.io \ -Dquarkus.container-image.groupmyorg \ -Dquarkus.container-image.tag1.0.0 # 本地运行容器做最后验证 docker run -p 8080:8080 myorg/my-quarkus-app:1.0.0镜像构建后还要对镜像本身做一次安全扫描捕捉基础镜像或安装层引入的漏洞# Trivy trivy image myorg/my-quarkus-app:1.0.0 # GrypeAnchore 出品 grype myorg/my-quarkus-app:1.0.0这里两个扫描器二选一即可重点是扫描对象从「依赖清单」升级为「可交付产物镜像」——依赖漏洞扫描阶段四与镜像扫描阶段八覆盖的是攻击面的不同位置。阶段九配置验证Configuration Validation“在别处能跑”不等于“在目标环境能跑”。Quarkus 的配置体系application.properties 环境变量 系统属性分层覆盖很容易出现「本地默认值上线后覆盖错误」的问题因此技能要求显式验证配置# 打印工程全部配置属性与来源 mvn quarkus:info # 运行时查看生效中的配置项来源dev 模式端点 curl http://localhost:8080/q/dev/io.quarkus.quarkus-vertx-http/config按环境逐项核对清单数据库 URL 按环境配置不要共享本地localhost默认值密钥外部化Vault、环境变量、K8s Secret不进application.properties版本库日志级别与生产环境匹配生产不打印 DEBUGCORS 来源按环境白名单设置速率限制已配置监控/链路追踪Tracing已启用。阶段十文档审查Documentation Review代码、行为与文档三者一旦脱节接手的下一个开发者或 Agent就会踩坑。收尾阶段检查OpenAPI/Swagger 文档是最新的查看/q/swagger-uiREADME 包含完整的环境配置说明API 变更已记录破坏性变更breaking changes有迁移指南配置属性已有文档说明。并导出 OpenAPI 契约留档curl http://localhost:8080/q/openapi -o openapi.json该文件既是 Swagger UI 的数据源也是前端、测试与文档自动化的单一事实来源。综合放行清单Verification Checklist技能在十个阶段之外把验收标准收敛成四组「上线前勾选」清单代码质量构建无警告通过静态分析干净无 high/medium 级问题代码符合团队约定PR 中无注释掉的代码与 TODO 遗留测试全部测试通过代码覆盖率 ≥ 80%集成测试使用真实数据库安全测试通过性能在可接受范围安全依赖无已知漏洞认证/授权已测试输入校验完整源码中无密钥安全响应头已配置部署原生编译成功容器镜像构建成功健康检查响应正常目标环境配置有效原生可执行文件可构建、原生测试通过、启动时间 100ms、内存占用可接受英文原版对原生镜像补充的验收项见 SKILL.md一键跑完全流程自动化验证脚本把十个阶段串成单个脚本适合本地交付前与 CI 中复用技能原文完整收录于 SKILL.md#!/bin/bash set -e echo Fase 1: Build mvn clean verify -DskipTests echo Fase 2: Static Analysis mvn checkstyle:check pmd:check spotbugs:check echo Fase 3: Tests Coverage mvn test jacoco:report jacoco:check echo Fase 4: Security Scan mvn org.owasp:dependency-check-maven:check echo Fase 5: Native Compilation mvn package -Dnative -Dquarkus.native.container-buildtrue echo All Phases Complete echo Review reports: echo - Coverage: target/site/jacoco/index.html echo - Security: target/dependency-check-report.html echo - Native: target/*-runnerset -e保证任一阶段失败立即中断——验证循环的设计哲学就是尽早失败、就地修复而不是把问题一路带进生产。接入 CI/CDGitHub Actions 示例本地脚本化之后进一步把核心阶段搬进 CI英文原版提供的 GitHub Actions 工作流见 SKILL.md让每次 push / PR 自动触发name: Verification on: [push, pull_request] jobs: verify: runs-on: ubuntu-latest steps: - uses: actions/checkoutv7 - name: Set up JDK 21 uses: actions/setup-javav5 with: java-version: 21 distribution: temurin - name: Cache Maven packages uses: actions/cachev6 with: path: ~/.m2 key: ${{ runner.os }}-m2-${{ hashFiles(**/pom.xml) }} - name: Build run: mvn clean verify -DskipTests - name: Test with Coverage run: mvn test jacoco:report jacoco:check - name: Security Scan run: mvn org.owasp:dependency-check-maven:check - name: Upload Coverage uses: codecov/codecov-actionv7 with: token: ${{ secrets.CODECOV_TOKEN }} files: target/site/jacoco/jacoco.xml三点说明工作流展示的是构建、覆盖率门槛与依赖安全扫描这三个在云端可稳定复现的阶段原生编译与 ZAP 渗透测试这类重活建议按需在带 Docker 的 runner 上单独开启JDK 版本与 actions 版本号应根据你的工程实际锁定。最佳实践与使用提醒技能文档英文版、西班牙语版收束的日常纪律恰好也是把它用好最关键的习惯每次 PR 前运行验证循环在 CI/CD 流水线中自动化而非仅靠人肉回忆发现问题立即修复不积累技术债保持覆盖率高于 80%定期升级依赖并复查安全扫描结果周期性执行原生编译测试防止「临发布才发现打不了 native」持续监控性能趋势单次压测的数字会过时趋势不会文档化破坏性变更为每个目标环境单独做配置校验。最后提醒两点边界其一本技能是给Quarkus 工程用的验证脚本ECC 仓库本身只承载技能定义与多语言译本并不包含可运行的 Quarkus 示例工程实际执行时请在你的 Quarkus 项目根目录运行其二文中所有命令涉及的项目名如my-quarkus-project、myorg/my-quarkus-app、端点路径/api/markets与性能阈值均为占位示例请替换为你工程的真实值与既定 SLO。把这份十阶段循环当作发布前放行的默认基线你的 PR 与上线将不再依赖运气。【免费下载链接】ECCThe agent harness performance optimization system. Skills, instincts, memory, security, and research-first development for Claude Code, Codex, Opencode, Cursor and beyond.项目地址: https://gitcode.com/GitHub_Trending/ev/ECC创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考