Как протестировать POST /users

Начну с позитива: создаю пользователя с минимальным набором обязательных полей и с полным, жду 201, Location, в теле id и данные, а в базе запись с правильными полями. Дальше обязательность и типы: убираю каждое обязательное поле по очереди, шлю null, строку вместо числа, жду 400 или 422 с указанием поля, а не 500. Границы: длина пароля и имени на границах, возраст 0, отрицательный, нереальный, email без собаки, с пробелами по краям, кириллица и эмодзи в имени. Бизнес-правила: повторная регистрация того же email даёт 409, причём проверяю и вариант в другом регистре, пароль никогда не возвращается в ответе, а в базе лежит хеш. Безопасность: пробую добавить role admin в тело, это mass assignment, смотрю на лимит частоты. И надёжность: двойной клик, то есть два параллельных одинаковых запроса, не должен создавать двух пользователей. Позитив и ключевой негатив автоматизирую, остальное держу в чек-листе.