你会优先检查本项目的哪些安全边界？

追问登录、成绩详情、题目富文本、文件和管理接口分别接收什么不可信输入？怎样把对象授权、注入、脚本内容与凭据保护落实到具体入口？

怎样根据业务规则建立测试清单？

追问正常练习、无权限读取、题目下架、重复交卷和评分冲突各用什么测试覆盖？哪些仅测状态码不够，还需要检查持久数据与副作用？

追问不同角色、班级、题型、版本与状态如何通过 fixture 构造？测试数据、事务和外部资源怎样清理，避免用例依赖执行顺序或共享遗留记录？

追问评分函数、权限规则、数据库约束与任务创建分别需要验证到哪一层？只模拟数据库调用时，可能漏掉哪些真实事务与并发问题？

追问教师发布、学员练习、提交、回看和教师统计怎样串联？页面跳转之外，如何验证答案保存、成绩归属与答案展示时机？

追问限时测验、缓存过期、任务重试和通知失败怎样稳定复现？为什么依赖真实等待或公共外部服务，容易让测试缓慢且结果不稳定？

追问如何让两个操作真正交错执行，并分别使用符合运行模型的连接或会话？最终记录数量、冲突响应与副作用次数怎样验证，顺序调用两遍为什么不充分？

追问使用含历史题目和练习记录的数据时，升级后如何验证完整性？应用回退是否要求数据库也回退，哪些改变可能不可直接逆转？

追问怎样保留请求标识和诊断信息，同时避免输出密码、凭据和完整答卷内容？普通用户、管理员与开发人员分别能看到哪些错误详情？

追问对象权限、输入归属、事务、防重和异常清理怎样沿流程检查？面对“功能测试通过但失败路径不清楚”的实现，怎样提出具体可验证的改进？

质量核对资料： pytest：Fixtures、OWASP：对象级授权。测试框架负责组织执行，业务断言、隔离与真实约束覆盖仍需按项目设计。