外包测试人员需要验证报价流程，项目组为了省事给了后台账号。打开菜单才发现，这个账号既能看测试报价，也能查正式客户。即使测试脚本没有恶意，选错环境或复用一个客户编号也可能把工作带进生产。
原平台已有测试租户、访客身份和脱敏数据，就先使用它们。EasyNet 不是把生产账号包起来就能造出沙箱。它适合测试要用几个分散系统，而团队希望把可做的动作列成一个明确集合，不再分发整套后台权限。
可以为测试环境部署独立适配器，提供查测试报价、模拟提交和读取测试结果。输入只接受测试对象标识，输出是必要字段和测试记录号。连接配置固定指向沙箱，不提供一个可以由调用者切到 production 的参数。
访问者要使用可识别的测试主体，适配器持有的也应是沙箱凭据。身份、对象范围、结束时间和批准人需要专项接入；不同能力地址或不同容器本身不证明数据隔离。附件、错误栈和日志同样要检查，脱敏不能只覆盖表格正文。
外包完成任务后，负责人关闭新增请求，按约定处理排队工作，再验证旧身份无法继续访问。已经下载的测试附件需要单独的保留约定；撤销入口不会把对方电脑上的副本自动收回。
先用合成数据尝试替换对象编号、存储路径和环境参数，确认所有路径都无法触达生产，再讨论真实试点。函数接入是已有基础，测试租户隔离、期限和退出流程仍需实现。这项工作的交付不是“开通一个入口”，而是对方完成了测试却始终不需要生产账号。
- 01
测试主体
明确范围和结束时间
- 02
固定沙箱适配器
只接受测试对象编号
- 03
验收退出
旧身份与排队请求分别检查
不要把环境开关作为入参
只有内存合成数据的本地例子，用来检查对象白名单；真实租户隔离和身份验证不由此实现。
本地示例 · python
test_quotes = {"test-q-01": {"amount_cents": 2500}}
def read_test_quote(quote_id):
if quote_id not in test_quotes:
raise PermissionError("not an approved test object")
return dict(test_quotes[quote_id])
assert read_test_quote("test-q-01")["amount_cents"] == 2500
try:
read_test_quote("production-q-01")
except PermissionError as error:
print(error)预期结果：测试编号返回 2500；production-q-01 被拒绝，函数没有环境参数。
接入时的检查项
- 测试身份能否通过参数或文件路径触达生产。
- 到期后的新调用与排队调用是否均按策略拒绝。
- 错误输出和运行日志是否泄露真实客户数据。