API 是稳定契约

const input = CreateTaskSchema.parse(await request.json());
const user = await requireUser(request);
const task = await createTask(user.id, input);
return Response.json({ data: task }, { status: 201 });

这是解释结构的代码骨架，外部函数与数据需要在实际项目中实现。

放进真实情境里看

浏览器提交创建任务请求。前端只校验了标题非空，但有人直接调用 API 发送超长标题和别人的 ownerId。服务端如果照单全收，权限与数据都会失控。

1. 01

   只接受允许的输入

   请求体只包含标题和说明；用户 ID 来自服务器验证后的会话，不从客户端字段读取。

2. 02

   给错误稳定的形状

   例如 400 表示输入错误，401 表示未登录，403 表示无权访问；响应中的 code 和 message 供界面映射。

3. 03

   覆盖边界测试

   测试空标题、超长标题、未登录、访问他人任务与重复请求。不要只测试一次成功创建。