web应用安全测试清单

《web应用安全测试清单》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、Web应用安全测试清单第1部分:数据输入简介： 本文为系列文章"Web软件测试Checklist应用系列"中的第一篇。该系列文章旨在阐述Checklist（检查清单）在Web软件产品测试中的应用，以帮助您了解如何利用Checklist这种重要的测试手段，更高效的寻找Web产品中的defect（缺陷）。Checklist汇集了有经验的测试人员总结出来的最有效的测试想法，可以直接有效的指导测试工作，开阔测试人员的思路，能够快速的发现产品的缺陷并实现较好的测试覆盖，更重要的是该Checklist在不同的项目中具有很强的通用性。Checklist在Web测试中的重要性Checklist（检查清单）从

2、名字字面意思即可理解，是用于检查的一系列条目。之所以需要Checklist，是因为人们的记忆会有疏忽，可能遗漏一些需要注意的事项，还因为人们的经验和水平有限，能够思考到的程度有差异，借助Checklist可以帮助我们做必要的检查。举例，体检的时候，在体检中心登记之后会给每个人打印一个清单，就是当天需要检查的项目，逐项检查并打勾，就可以避免遗漏；再比如，当我们计划一次旅游时，我们会列举我们旅途中需要用到所有物品的清单，以及旅行前需要完成的各项准备工作。通常，出行前，我们会按照清单逐项检查，比如办签证、订机票、订酒店等，出行前，我们会按照清单逐项打包需要带的东西，比如药品、工具、文件资料、护照签

3、证、机票等等。Checklist在类似的工作中具有非常重要的价值。为什么Checklist可以应用在软件测试中呢？第一，Checklist可以帮测试人员节省时间，因为很多有效的方法并不需要每个测试人员重新发现，前人已经有了充分的总结，并做了大量的有效性验证；第二，Checklist可以帮助测试人员避免遗漏，人的记忆是有局限的，难免会有遗漏的地方，通过Checklist检查可以有效的防止遗漏。本系列文章就是基于Checklist在Web软件产品中的应用展开，分几个部分逐渐展开。每篇文章将给出某一个特定方面的Checklist，并给出具体应用实例。回页首数据输入包含的范畴本文主要介绍数据输入过程

4、中应用Checklist进行测试的情况，包含表格输入、数据验证、数据一致性、日期输入、数字输入、数字字符输入等方面。输入类型类型描述表格输入是指在通过Web页面输入数据的过程中，有些数据页面包含多个输入框，并呈现为一定的布局排列数据验证用于验证输入的信息是否有效合法，并对非法的信息进行恰当的处理或警告提示数据一致性用于保证输入的数据与存储的、显示的数据是否一致日期输入指输入日期格式的数据，并对输入日期进行有效性检验数字输入是指对仅输入数字，而不能接受字符及其他非法字符的输入数字字符输入既可以包含数字，也可以同时包含字符回页首表格输入Checklist表1.表格输入Checklist总结序号C

5、hecklist1.1接收到非法输入时是否能恰当处理？1.2该输入是可选输入还是必填输入？1.3输入超过允许长度的数据1.4页面装载或重装载后默认值1.5组合框中的数据可以正常选择和更改1.6表格是否显示了所有的部分？是否十分正确的排列？文字内容是否处于正确的位置？1.7滚动条是否在需要时出现？1.1接收到非法输入时是否能恰当处理？一个好的软件，当接收到非法输入时，能够恰当的处理，不能给出不可预知的错误信息。请看下面的例子。图1.电子邮件地址和电话号码 从图1的例子中可以发现，当我们在该页面的邮件地址中输入非法的邮件地址时，产品给出了适当的错误提示，并且当用户将鼠标至于红色错误警示标志之上时

6、，可以得到更加详细的提示窗口，该实例对邮件地址的非法输入给出了恰当的提示。而在该图的电话号码输入框中，我们输入一串字母作为非法输入，而并没有得到任何非法输入警告提示，这是一个软件缺陷。1.2该输入是可选输入还是必填输入？Web产品页面上，输入域是必填项还是可选项需要进行验证。有两个方面的验证需要完成:第一，必填输入域确实是必须填的，当没有输入时会有错误提示；可选输入域是可以不填的。第二，确保必填输入域是确实必要的，而可选输入域是非必要的。下面我们提供两个实例。图2.可选项邮件地址未输入时报错 图2的实例中，电子邮件地址为可选输入项，当用户没有填写该项时，产品提示需要输入邮件地址，而这与可选项

7、的定义不符。这是产品的一个缺陷。图3.不合理的可选项输入设置 图3的实例中显示为创建一个群组的窗口页面，该页面上唯一的输入即群组名称，而该群组名称作为群组的唯一标识，是应该为必填输入项的。而这里，产品并未将该输入项作为必填项。当用户不做任何输入，直接点击确定时，一个没有名字的群组将被创建。这是不合理的，是产品的缺陷。1.3输入超过允许长度的数据正常情况下，每个输入域对输入数据的长度需要进行约束，给出最小长度和