Danh sách bài tập

GET · Dễ

Gọi một GET request cơ bản và kiểm tra response JSON trả về.

GET · Dễ

Truyền tham số trên đường dẫn (path param) và kiểm tra dữ liệu trả về tương ứng.

GET · Dễ

Dùng query string (?q=&limit=) để lọc/giới hạn kết quả trả về.

GET · Dễ

Yêu cầu server trả về đúng mã status code bạn chỉ định, để luyện tập assert status.

GET · Dễ

Server trả về các header tùy chỉnh (X-Request-Id, X-Server-Time...), hãy kiểm tra chúng.

GET/POST/DELETE... · Dễ

Endpoint chỉ hỗ trợ GET - gọi bằng method khác để kiểm tra 405 kèm header Allow.

POST · Trung bình

Tạo một 'note' mới bằng JSON body và kiểm tra response 201 kèm dữ liệu vừa tạo.

PUT · Trung bình

Cập nhật toàn bộ nội dung note đã tạo bằng PUT, so sánh với PATCH ở bài sau.

PATCH · Trung bình

Chỉ cập nhật 1 field (ví dụ chỉ title) và kiểm tra các field khác không đổi.

DELETE · Trung bình

Xóa note và kiểm tra GET lại sẽ trả 404, xóa lần 2 cũng phải trả về hợp lý.

POST · Trung bình

Gửi dữ liệu thiếu field/sai kiểu để kiểm tra server trả về 400 kèm thông báo lỗi rõ ràng.

GET · Trung bình

Lấy danh sách note có phân trang (page, limit) và sắp xếp (sort).

GET · Khó

Test endpoint yêu cầu HTTP Basic Auth với username/password cố định.

GET · Khó

Test endpoint yêu cầu header X-Api-Key cố định, khác với X-Practice-Token dùng để chấm bài.

POST + GET · Khó

Đăng nhập lấy JWT, sau đó dùng token đó để gọi API được bảo vệ (Authorization: Bearer).

POST · Khó

Dùng refreshToken để lấy accessToken mới khi accessToken hết hạn, không cần đăng nhập lại.

POST + GET · Khó

Mô phỏng luồng OAuth2 Client Credentials: đổi client_id/client_secret lấy access_token.

GET · Khó

Một endpoint yêu cầu quyền admin - phân biệt lỗi 'chưa xác thực' (401) và 'đã xác thực nhưng không đủ quyền' (403).

GET · Nâng cao

Gọi liên tục để kích hoạt giới hạn tần suất (429 Too Many Requests).

POST · Nâng cao

Dùng header Idempotency-Key để tránh tạo trùng giao dịch khi gọi lại cùng 1 request.

POST · Nâng cao

Upload một file bất kỳ và kiểm tra thông tin file trả về (tên, kích thước, mime type).

GET · Nâng cao

Endpoint ngẫu nhiên trả về lỗi 500 khoảng 40% số lần gọi - luyện viết test có retry.

POST + GET · Nâng cao

Submit một 'job' xử lý bất đồng bộ, sau đó poll trạng thái tới khi hoàn tất.

GET · Nâng cao

GET một tài nguyên không đổi, gửi lại header If-None-Match để nhận 304 thay vì tải lại toàn bộ dữ liệu.

POST · Nâng cao

Kho chỉ có 3 sản phẩm - gửi nhiều request MUA cùng lúc để phát hiện lỗi bán vượt tồn kho (oversell).

POST · Nâng cao

Đặt hàng với số lượng ở các giá trị biên (0, âm, thập phân, vượt max) để luyện kỹ thuật boundary value analysis.

POST + GET · Chuyên sâu

Đăng ký nhận webhook (không cần công cụ ngoài - hệ thống tự tạo hộp thư giả lập), rồi kiểm tra chữ ký HMAC.

OPTIONS + GET · Chuyên sâu

Kiểm tra preflight request (OPTIONS) và các header Access-Control-* trả về.

GET · Chuyên sâu

So sánh cùng một resource nhưng 2 phiên bản API trả về cấu trúc dữ liệu khác nhau.

GET · Chuyên sâu

Đổi số ID trên URL để xem dữ liệu riêng tư của TÀI KHOẢN NGƯỜI KHÁC - lỗi #1 trong OWASP API Security Top 10.

PATCH · Chuyên sâu

Endpoint chỉ nên cho sửa email/phone, nhưng gán thẳng toàn bộ body vào dữ liệu nội bộ - thử thêm field 'role'.

GET · Chuyên sâu

API 'danh bạ nội bộ' đáng lẽ chỉ nên trả tên hiển thị, nhưng lại trả nguyên dữ liệu riêng tư của TẤT CẢ mọi người.