应用字段策略校验

目标与适用范围

定义并测试由产品负责的密码与颜色代码规则，将应用自己的允许列表和范围判断与通用校验结果分开。
本指南将当前任务范围转化为可复核的交付结果。请保留源文件、中间产物和关键判断，让后续协作者能够理解检查了什么以及为什么这样处理。

准备证据并作出选择

• 在测试前写下规则：密码允许的长度和字符要求、颜色允许的语法、通道或 alpha 范围，以及空值和首尾空白的处理方式。

• 准备合成的通过、边界和失败样例；不要把生产密码、令牌或用户提交的秘密放入本流程。

• 确定记录如何保存原始值、工具观察结果、应用策略结论、失败原因和人工复核标记。

• 决策点: 这是语法观察，还是产品规则？. 用工具观察密码强度要求或颜色代码语法，再应用产品自己的允许列表、长度、通道和 alpha 规则。通用的“有效”不能单独代表通过应用策略。

• 决策点: 字段应该走哪条校验路径？. 密码候选值使用 strong-password-validator，颜色代码候选值使用 color-code-validator。如果字段需要其他业务规则或外部身份核验，应转到独立流程，不要扩大这两个工具的结论。

• 决策点: 哪些情况需要二次复核？. 把边界结果、意外拒绝、规范化变化和会影响错误提示的规则交给 QA 或产品负责人复核。颜色代码有效性必须与对比度和设计无障碍检查分开。

按步骤完成工作流

1. 写下策略和样例矩阵

在输入任何值前记录密码要求、允许的颜色代码形式和范围。为正常、边界、拒绝及有意模糊的情况创建合成样例，并决定每种工具观察结果如何留痕。 使用 strong-password-validator, color-code-validator.

2. 检查合成密码候选值

在适用时使用应用选定的最小长度运行密码样例。查看返回的长度、字符要求、强度、分数、警告和建议，保存确切候选值，再逐项与已写下的策略比较。 使用 strong-password-validator.

3. 检查合成颜色代码候选值

将颜色样例交给颜色代码校验器，记录返回的有效状态和识别出的格式。把支持的语法与产品允许列表对照，并单独检查应用定义的通道或 alpha 范围；语法通过不等于对比度通过。 使用 color-code-validator.

4. 把工具观察结果与策略对账

为每个样例标记应用结论：接受、拒绝或人工复核，并写明原因。找出通用格式或强度结果与产品规则不一致的情况，例如语法有效但不在允许列表内，或值被允许却需要更清楚的交互提示。 使用 strong-password-validator, color-code-validator.

5. 复核例外和发布边界

用合成输入重新检查误报、漏报、空白和大小写处理以及字段错误提示是否清楚。另行复核颜色对比度、非颜色提示、密码帮助和找回流程；不要把本记录升级为认证、合规或无障碍保证。 使用 strong-password-validator, color-code-validator.

交付前验收结果

• 测试前已写明应用策略，包括允许形式、限制、规范化、空值处理和每类字段的预期结果。
• 密码和颜色代码各有合成样例矩阵，覆盖明确通过、边界和失败情况，并保留原始输入。
• 密码工具返回的要求、强度、分数、警告或建议已与应用规则对照，而不是直接当作最终策略结论。
• 颜色工具返回的有效状态和格式已与应用允许的语法及通道或 alpha 范围对照；不支持或超出策略的值仍能与格式错误区分。
• 误报、漏报、面向用户的错误文案、键盘和屏幕阅读器问题等已单独复核；不把这两项检查单独写成认证安全、合规或设计无障碍保证。

常见问题

• 密码工具显示强度高，是否就代表认证安全？ 不代表。它报告常见的长度和字符要求以及相关观察结果，不会评估完整的认证设计、密码存储、限流、泄露风险或账户找回流程。
• 颜色代码有效，是否就符合应用的颜色策略？ 不一定。工具报告支持的颜色代码语法和相关细节，应用仍需决定允许列表及通道或 alpha 范围。语法有效也不代表对比度或设计无障碍。
• 这两个工具能直接执行产品允许列表或自定义范围吗？ 不能。应在使用它们的应用中记录并实现这些策略，再把工具观察结果与策略比较。格式错误、超出策略和需要人工复核的情况应分别记录。
• 复核时应该使用什么数据？ 使用覆盖正常、边界和失败情况的合成值。不要提交生产密码、令牌或真实用户值，只保留能够重现策略结论所需的证据。