标准答案
- Sandbox 使用供应商提供的测试环境，适合验证鉴权、签名、字段和真实协议行为，但可用性和数据状态仍受外部控制。
- Fake 是团队可控的本地或测试替身，适合稳定复现成功、失败、延迟和边界状态。
- 故障模拟需要覆盖超时、连接中断、限流、重复回调、乱序回调和部分成功，验证本服务不会把异常扩大。
- 生产密钥和真实用户数据不应进入测试替身；测试依赖也要有独立的凭据、配额和审计。
题目解析
只测“第三方调用成功”无法证明系统可靠。真实故障更常见的是返回慢、重复回调或短时间不可用，因此恢复策略需要在非生产环境被主动演练。
对于支付等高风险依赖，Fake 不能替代 Sandbox。前者保证本地逻辑，后者验证双方真正的协议与签名实现。
常见误区
- 把生产 API Key 配到测试环境，认为调用次数少就没关系。
- Fake 只实现成功响应，导致失败处理从未被测试。
- 把第三方回调当成只会到达一次且严格有序。