Для чего используют header?

Зачем нужны HTTP-заголовки (Headers) в автоматизации тестирования?

HTTP-заголовки (headers) — это фундаментальный элемент протокола HTTP, представляющий собой пары «ключ-значение», которые передаются вместе с запросом или ответом между клиентом (например, браузером или нашим автотестом) и сервером. Они не являются частью тела запроса/ответа (body), но несут критически важную мета-информацию, управляющую обработкой данных. В контексте QA Automation работа с заголовками является обязательным навыком для тестирования API, веб-приложений и обеспечения безопасности.

Ключевые цели использования заголовков

1. Управление форматом и кодировкой данных (Content Negotiation):

    *   `Content-Type` (ответ/запрос): Указывает тип медиа передаваемых данных. Автотесты должны корректно устанавливать и проверять этот заголовок.

    ```http
    Content-Type: application/json
    Content-Type: application/xml
    Content-Type: application/x-www-form-urlencoded
    ```

    *   `Accept` (запрос): Сообщает серверу, какие форматы данных клиент может обработать.

    ```http
    Accept: application/json, text/html
    ```

    *   `Content-Encoding` / `Accept-Encoding`: Указывают на сжатие данных (gzip, deflate), что влияет на производительность и требует особой обработки в тестах.

1. Аутентификация и авторизация:

    *   `Authorization`: Самый важный заголовок для тестирования защищённых эндпоинтов. Чаще всего содержит токен (Bearer) или базовую аутентификацию.

    ```http
    Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
    ```

    *   `Cookie`: Используется для управления сессиями, когда состояние аутентификации хранится в cookies. Автотесты должны уметь извлекать и подставлять cookies из ответов в последующие запросы.

1. Управление кешированием:

    *   Заголовки `Cache-Control`, `ETag`, `Expires`, `Last-Modified` определяют, как клиент и прокси-серверы должны кешировать ресурсы. Для тестирования критически важно понимать их влияние, чтобы избегать ложных успехов тестов из-за закешированных старых данных.

1. Контроль доступа (CORS - Cross-Origin Resource Sharing):

    *   При тестировании веб-приложений или микросервисной архитектуры часто возникают запросы между разными доменами. Заголовки `Origin`, `Access-Control-Allow-Origin`, `Access-Control-Allow-Methods` регулируют эти взаимодействия. Автотесты должны проверять их корректность, особенно в негативных сценариях.

1. Передача контекста и трассировка:

    *   В распределённых системах заголовки используются для сквозной идентификации запросов (например, `X-Request-ID`, `X-Correlation-ID`). Это ключевой инструмент для отладки и анализа логов во время выполнения тестов.
    *   `User-Agent`: Позволяет идентифицировать клиентское приложение (браузер, мобильное приложение, скрипт). В тестах его можно менять для эмуляции разных клиентов.

1. Управление сессией и состоянием:

    *   Помимо `Cookie`, используются заголовки типа `Session-ID` или кастомные токены, которые автотест должен корректно обрабатывать в цепочке запросов.

Практическое применение в автотестах

В фреймворках для тестирования API, таких как Requests (Python) или RestAssured (Java), работа с заголовками происходит явно.

Пример на Python (pytest + requests):

import pytest
import requests

def test_authenticated_api_request():
    # 1. Подготовка заголовков для аутентификации и указания типа данных
    headers = {
        'Authorization': 'Bearer my_secret_token',
        'Content-Type': 'application/json',
        'Accept': 'application/json',
        'User-Agent': 'QA-Automation-Suite/1.0'
    }

    # 2. Отправка запроса с заголовками
    payload = {'title': 'Test Post', 'body': 'Test content', 'userId': 1}
    response = requests.post(
        'https://jsonplaceholder.typicode.com/posts',
        json=payload,
        headers=headers
    )

    # 3. ВАЖНО: Проверка заголовков в ответе (например, подтверждение типа данных)
    assert response.status_code == 201
    assert response.headers['Content-Type'] == 'application/json; charset=utf-8'

    # 4. Проверка бизнес-логики в теле ответа
    response_data = response.json()
    assert response_data['title'] == payload['title']

def test_cors_headers():
    # Тестирование политик CORS
    origin_header = {'Origin': 'https://malicious-site.com'}
    response = requests.options('https://api.example.com/data', headers=origin_header)

    # Проверяем, что сервер для стороннего origin НЕ разрешает доступ
    # (в зависимости от тестового сценария)
    assert 'Access-Control-Allow-Origin' not in response.headers or \
           response.headers['Access-Control-Allow-Origin'] != 'https://malicious-site.com'

Вывод для QA-инженера

Понимание и умелое обращение с HTTP-заголовками позволяет:

• Реализовывать сложные сценарии тестирования (аутентификация, сессии, загрузка файлов).
• Тестировать нефункциональные требования: безопасность (CORS, CSP-заголовки), производительность (кеширование, сжатие).
• Эмулировать поведение реальных клиентов (браузеров, мобильных приложений).
• Проводить эффективную отладку, используя заголовки трассировки.
• Валидировать полное соответствие API-контракту, включая не только тело ответа, но и служебную метаинформацию.

Таким образом, заголовки — это не просто техническая деталь, а мощный инструмент для создания надёжных, всесторонних и приближённых к реальности автоматизированных тестов.