Как тестировать REST API?

REST — стиль построения API: ресурсы с адресами (/users/15), действия — HTTP-методами, данные — обычно в JSON, сервер не хранит состояние между запросами.

Что проверять:

• статус ответа — 200/201 при успехе, нужный 4xx при ошибке, никогда 500 на неверных данных;
• тело ответа — значения полей, типы данных, формат дат, соответствие документации (часто Swagger/OpenAPI);
• схему — обязательные поля на месте, лишних чувствительных полей нет (например, хеша пароля);
• побочные эффекты — данные действительно создались или изменились: повторный GET, проверка в базе;
• негативные сценарии — пустое тело, неверные типы (строка вместо числа), слишком длинные значения, лишние поля, отсутствующие обязательные;
• авторизацию — запрос без токена (401), с чужим токеном к чужому ресурсу (403 или 404), с истёкшим токеном;
• граничные значения и пагинацию, идемпотентность повторных запросов, время ответа.

Postman — инструмент для ручного тестирования API: коллекции запросов, переменные окружения (стенд, токен), проверки в Tests, запуск коллекции целиком.

POST /api/users с телом {"email": "a@b.ru", "age": 25} → 201 и id в ответе; затем GET /api/users/{id} возвращает те же данные. Негативные: age: "двадцать" → 400/422 с понятной ошибкой; тот же email второй раз → 409; без токена → 401.