用自动化测试验证 GDPR/CMP 同意流程、GPC…

当需要为网站或应用做隐私与广告合规的自动化测试（同意横幅、脚本阻断、Cookie 审计、GPC、Consent Mode v2、AI Act 透明度）时使用。

适用场景

解决思路

1. 先检查项目根目录的 `.agents/qa-project-context.md`，其中记录了适用法规、CMP 细节、广告网络和地理范围；已答问题跳过，缺失则建议用 `qa-project-context` 技能创建。
2. 确认适用法规：EU（GDPR、ePrivacy、DSA、EU AI Act）、US（CCPA/CPRA 及约 20 个州法，多数要求遵守 Global Privacy Control）、UK（UK GDPR/DPA、PECR、OSA 2023、DUAA）、其他（LGPD、PIPEDA、POPIA）。
3. 确认处理的合法性基础（同意/正当利益/合同必要），决定是否必须显式同意先于处理。
4. 确认使用的 CMP（OneTrust、Cookiebot、Didomi、Usercentrics、Iubenda、Sourcepoint、Axeptio 或自研）；在 EEA/UK 投放 Google 广告必须使用 Google 认证 CMP 和 Consent Mode v2；2026 年 2 月 28 日起新 TC 字符串必须是 TCF v2.3。
5. 确认同意类别（Strictly Necessary、Analytics/Performance、Functional/Preferences、Marketing/Targeting）以及同意如何传给第三方脚本（IAB TCF v2 `__tcfapi`、自定义 data layer 或 CMP API）。
6. 确认广告网络与格式（Google Ads、Meta、程序化；display、video、interstitial），以及是否有无障碍义务（ADA、EAA、Section 508）——无障碍测试在 `accessibility-testing` 中编写。
7. 用 Playwright 测试同意横幅与暗黑模式：首次访问出现横幅；接受与拒绝同等显著（拒绝不是小灰链接）；存在隐私政策链接。
8. 测试同意前后的 Cookie 状态：同意前无非必要 Cookie；接受后才有分析 Cookie；拒绝后无非必要 Cookie；维护 `isStrictlyNecessary` / `isAnalyticsCookie` 分类器对照清单。
9. 测试同意持久化与撤回：同意在导航后保留；用户可通过隐私设置撤回，撤回后必须清除相关 Cookie。
10. 测试第三方脚本阻断：跟踪脚本（`google-analytics.com`、`googletagmanager.com`、`facebook.net`、`analytics.tiktok.com`、`bat.bing.com` 等）在同意前不得加载，接受后应加载；用 `page.on('request')` 监控，这是最关键检查。
11. 测试 Global Privacy Control：设置 `Sec-GPC: 1` 头后断言 `navigator.globalPrivacyControl === true` 且营销 Cookie 不存在；不要断言虚构的 `window.__cmp.gpcStatus`（不存在，TCF v1 的 `__cmp` 已过时，TCF v2 用 `__tcfapi`）。
12. 测试 TCF v2 同意状态：通过 `window.__tcfapi('getTCData', 2, cb)` 读取 purpose/vendor 同意，并用同一调用暴露的 `tcfPolicyVersion` 作为 TCF v2.3 新鲜度守卫。
13. 测试 Google Consent Mode v2：默认状态 `ad_storage` / `analytics_storage` / `ad_user_data` / `ad_personalization` 必须为 `denied`；接受后必须触发 `update` 为 `granted`；拦截时# 假设 gtag `arguments` 数组形态，注意参考文件中的对象形态回退。
14. EU AI Act 分阶段测试：禁止性实践 + AI 素养（2025-02-02 已生效）测试无 Article 5 禁止实践并记录 AI 功能范围；GPAI 义务 + 处罚（2025-08-02 已生效）检查模型卡、训练数据摘要、版权政策与披露页面；Article 50 透明度（2026-08-02 仍生效）测试 AI 生成内容标记、深度伪造披露、告知用户在与 AI 交互；机器可读标记宽限至 2026-12-02；高风险 Annex III 推迟至 2027-12-02；高风险 Annex I 推迟至 2028-08-02。
15. Better Ads Standards 测试：弹窗广告（加载 5 秒内无用户操作出现 modal/overlay）、自动播放有声视频（读取实时 `video.autoplay` / `video.muted` 属性而非 HTML 属性）、prestitial 倒计时广告、大面积 sticky 广告（>30% 视口）、移动端广告密度 >30%、闪烁动画广告（>3 次/秒）。
16. 注意 muted 视频检查必须读取实时 DOM 属性 `el.muted`，而非 `getAttribute('muted')`，因为播放器脚本用 JS 设置 `video.muted = true` 而不添加内容属性。
17. 注意 CBA 于 2025-01-14 新增两个桌面和两个移动广告体验，Chrome 评估不早于 2026-05-14；在此之前对照当前 Better Ads Standards 页面复查新组合格式。
18. 维护类型化 Cookie 清单作为事实来源：`CookieDefinition[]` 记录名称、类别、用途、最大过期时间及必须携带的 `Secure` / `HttpOnly` / `SameSite` 属性。
19. 属性校验：每个观察到的 Cookie 必须匹配定义的标志且不超过声明的最大过期时间；比较前将未设置的 `SameSite` 归一化为 `None`，因为 Playwright 在服务器未设置时会省略或变化该值。
20. 漂移检测：出现清单外的 Cookie 时让套件失败（`throw` 而非 warn），强制清单随脚本新增保持最新。
21. 无障碍仅做法律地图：EU EAA（EN 301 549 / WCAG 2.1 AA，2025-06-28 适用）、USA ADA（WCAG 2.1 AA 判例）、USA 联邦 Section 508（WCAG 2.0 AA）、Canada Ontario AODA（WCAG 2.0 AA，罚款最高 $100K/天）、UK Equality Act 2010（WCAG 2.1 AA 指南）；实际测试在 `accessibility-testing` 中编写。
22. 每周（而非仅 PR 时）运行合规测试以捕获配置漂移，并将结果作为长期 CI 工件保留用于审计追踪；参考 `references/ci-automation.md` 中的定时 GitHub Actions 工作流（90 天工件保留）。
23. 验证时先跑最小检查：`npx playwright test --project=chromium --grep @compliance`；正确运行应让不愉快路径测试作为门禁——在全新上下文（`storageState: undefined`）中「同意前无非必要 Cookie」和「同意前无跟踪脚本加载」必须通过。
24. 证明套件确实能捕获违规：临时指向一个同意前加载 GA 的页面，脚本阻断测试必须变红；对已知坏页面仍保持绿色的套件等于没断言。
25. 确认 GPC 测试在设置 `Sec-GPC: 1` 头时看到 `navigator.globalPrivacyControl === true`，且 Consent Mode 默认状态测试报告四个信号均为 `denied`。
26. 完成标准：适用法规已识别并记录在 `.agents/qa-project-context.md`；同意流程覆盖首次访问、接受、拒绝、撤回、跨导航持久化各为独立通过测试；GPC 被遵守；Consent Mode v2 已验证；EU AI Act 适用性已评估；Cookie 审计完成且漂移检测零未知 Cookie；无隐私政策未披露的跟踪域或 Cookie；套件在每周 CI 中绿色运行且结果保留 90 天。

适用边界 · 注意事项

• 不用于编写 WCAG/axe-core 无障碍测试——请用 accessibility-testing 技能。
• 不用于 OWASP/漏洞扫描——请用 security-testing 技能。
• 不用于评估 LLM 功能的质量或安全性（幻觉、越狱、提示注入）——请用 ai-system-testing 技能。