PHP 8.4 工程化中第三方依赖单测的核心是构建可验证的安全边界，需覆盖空/无效响应、恶意内容注入、越权伪造数据、协议漂移响应四类关键Mock；并利用Property Hook、只读接口、Rector校验等新特性强化契约，杜绝Mock成为安全盲区。
PHP 8.4 工程化中，用 Mock 做第三方依赖的单测，核心不是“模拟接口调用”，而是借 Mock 构建可验证的安全边界——即在不触达真实外部服务的前提下，精准测试你代码对非法响应、异常状态、越权数据的拦截与处置能力。
安全边界测试要覆盖哪几类关键响应
Mock 不是随便返回个 200 就完事。必须按安全风险等级预设以下典型响应，再断言你的代码是否做出正确防御：
-
空/无效响应：如返回
null、空数组、缺失关键字段（'order_id'不存在），验证是否抛出InvalidArgumentException或进入降级逻辑 -
恶意内容注入：如第三方返回的
user_name字段含<script>alert(1)</script>，断言你在输出前是否已调用htmlspecialchars() -
越权或伪造数据：如物流接口返回的
status是'delivered'，但tracking_no明显不属于当前用户订单，验证是否触发 IDOR 检查并拒绝处理 -
协议漂移响应：如文档约定返回
int类型的amount，实际返回字符串"100.50"，测试 DTO 构造器是否因类型不匹配而抛异常（配合 PHP 8.4readonly class+ 强类型构造）
用 PHP 8.4 新特性加固 Mock 行为契约
别只 mock 方法返回值。把 PHP 8.4 的语言能力嵌入 Mock 设计中，让测试本身成为契约的一部分：
- 为 Mock 对象定义 带 Property Hook 的属性，例如：
public string $apiResponse { set => $this->validateJson($value) ?: throw new SecurityException(); }
这样任何测试用例给它赋值非法 JSON，都会立即失败，无需等业务逻辑跑完 - 对接口类型提示使用 只读契约：
定义interface ThirdPartyPayload { public readonly array $data; }，然后在被测方法签名中写function handle(ThirdPartyPayload $payload): void
PHPUnit 创建 Mock 时强制实现该接口，且 IDE 和 PHPStan 能静态识别“不可篡改”语义 - 用 Rector 自动补全 Mock 安全校验：启用
php84: true规则集，将旧版willReturn($raw)替换为带类型断言的链式写法，如willReturn($this->safeJsonDecode($raw))
避免 Mock 成为安全盲区的三个实操原则
Mock 写得越“像真的一样”，越容易掩盖真实风险。守住以下底线：
立即学习“PHP免费学习笔记（深入）”；
-
不 mock 网络层，只 mock 协议层：不要用
HttpMockClient模拟整个 HTTP 请求；而是直接 mock 第三方 SDK 的响应解析器（如JsonResponseParser::parse()），确保校验逻辑独立于网络传输 -
所有 Mock 必须带断言副作用：每个
willReturn()后，紧跟->method('validate')->withAnyParameters()->willReturn(true)类似的调用验证，确认你的校验函数确实被执行了 -
禁止在 Mock 中做业务逻辑：比如不能在
willReturn()里调用filter_var()或password_hash()。这些应放在被测类内部，Mock 只负责提供原始输入，让边界校验暴露在测试视野下
安全边界测试的本质，是把第三方当成一个不可信的输入源来对待。PHP 8.4 提供的类型系统、只读约束和属性钩子，不是锦上添花的语法糖，而是帮你把“信任边界”从文档和口头约定，变成编译期可检查、运行时可拦截、测试中可断言的工程事实。
