【正文】 測試、數(shù)據(jù)注入測試，其余方面（如環(huán)境安全、媒體安全）可在部署和運(yùn)維中保證。測試內(nèi)容l 權(quán)限管理測試驗(yàn)證用戶是否可以進(jìn)行橫向越權(quán)和縱向越權(quán)操作216。 頁面是否進(jìn)行權(quán)限判斷216。 頁面資源標(biāo)志是否和用戶信息匹配216。 用戶登錄后，應(yīng)以會(huì)話中的用戶session的用戶身份信息為準(zhǔn)。216。 每個(gè)URL必須堅(jiān)定權(quán)限，不能通過菜單屏蔽或按鈕disable作為限制條件。l 認(rèn)證測試認(rèn)證測試是為了避免用戶賬號和密碼遭到暴力破解而進(jìn)行的測試216。 系統(tǒng)存在驗(yàn)證碼機(jī)制。216。 不允許簡單面的存在。如純英文、純數(shù)字等。216。 認(rèn)證失敗的錯(cuò)誤提示不應(yīng)該提示詳細(xì)信息，避免攻擊者根據(jù)提示信息改良破解方式。216。 系統(tǒng)存在鎖定策略。216。 系統(tǒng)不存在認(rèn)證繞過的漏洞。216。 找回密碼和修改密碼不存在漏洞。216。 使用安全的數(shù)據(jù)傳輸。216。 強(qiáng)口令策略。l 會(huì)話管理測試會(huì)話管理用于保持用戶的整個(gè)會(huì)話活動(dòng)與計(jì)算機(jī)系統(tǒng)跟蹤過程，根據(jù)項(xiàng)目需求，關(guān)注WEB服務(wù)器的會(huì)話管理。216。 用戶登錄后，身份信息由服務(wù)器端會(huì)話的Session中的用戶信息為準(zhǔn)。216。 cookie中不會(huì)帶有session ID信息。216。 用戶操作停止后會(huì)話保持時(shí)間不會(huì)超過10分鐘，超過10分鐘會(huì)跳轉(zhuǎn)回登錄界面。216。 用戶登錄后，每次請求服務(wù)器數(shù)據(jù)后session ID都會(huì)改變。216。 注銷后用戶信息被清除。l 服務(wù)器測試216。 服務(wù)器運(yùn)行賬號不應(yīng)該是特權(quán)賬號或高級別權(quán)限賬號，如“root”“administrator”等。216。 未使用的端口應(yīng)為關(guān)閉狀態(tài)。216。 不能通過任何方式獲得服務(wù)器的詳細(xì)版本信息。l 數(shù)據(jù)注入測試當(dāng)系統(tǒng)接受數(shù)據(jù)注入時(shí)，可能會(huì)造成數(shù)據(jù)泄露、數(shù)據(jù)被修改等嚴(yán)重影響，導(dǎo)致業(yè)務(wù)中斷。216。 不存在注入點(diǎn)。216。 頁面中不包含類似系統(tǒng)命令的返回信息。安裝測試只針對C/S架構(gòu)的系統(tǒng)（即App），需要驗(yàn)證App是否能正確安裝、運(yùn)行、卸載以及操作過程和操作前后對系統(tǒng)資源的使用情況。測試內(nèi)容l 安裝1）軟件在不同操作系統(tǒng)（Android、iOS）下安裝是否正常（手機(jī)端）。2）軟件安裝后的是否能夠正常運(yùn)行，安裝后的文件夾及文件是否寫到了指定的目錄里。 3）軟件安裝各個(gè)選項(xiàng)的組合是否符合概要設(shè)計(jì)說明 4)）軟件安裝向?qū)У腢I測試 5）軟件安裝過程是否可以取消，點(diǎn)擊取消后，寫入的文件是否如概要設(shè)計(jì)說明處理 6）軟件安裝過程中意外情況的處理是否符合需求（如死機(jī)，重啟，斷電） 7）安裝空間不足時(shí)是否有相應(yīng)提示8）安裝后沒有生成多余的目錄結(jié)構(gòu)和文件9）對于需要通過網(wǎng)絡(luò)驗(yàn)證之類的安裝，在斷網(wǎng)情況下嘗試一下10）還需要對安裝手冊進(jìn)行測試，依照安裝手冊是否能順利安裝l 卸載1）直接刪除安裝文件夾卸載是否有提示信息。 2）測試系統(tǒng)直接卸載程序是否有提示信息。 3）測試卸載后文件是否全部刪除所有的安裝文件夾。4）卸載過程中出現(xiàn)的意外情況的測試（如死機(jī)、斷電、重啟）。 5）卸載是否支持取消功能，單擊取消后軟件卸載的情況 。6）系統(tǒng)直接卸載UI測試，是否有卸載狀態(tài)進(jìn)度條提示 。（*號為必須要素）*缺陷ID（由系統(tǒng)自動(dòng)生成，唯一的） *缺陷的標(biāo)題測試的軟件和硬件環(huán)境（特殊環(huán)境下可注明） *測試的軟件版本（缺陷發(fā)現(xiàn)版本和修復(fù)版本，發(fā)現(xiàn)版本是指當(dāng)前版本，修復(fù)版本一般由項(xiàng)目經(jīng)理確認(rèn)） *缺陷的類型（功能的、性能的、使用方面、安全的等等） *缺陷的嚴(yán)重程度（由測試人員確定） 缺陷的處理優(yōu)先級（一般由項(xiàng)目經(jīng)理確定） *復(fù)現(xiàn)缺陷的操作步驟（操作步驟） 復(fù)現(xiàn)缺陷的測試數(shù)據(jù) （特定數(shù)據(jù)需要注明，比如特定的賬號） *缺陷的實(shí)際結(jié)果描述（錯(cuò)誤描述） *期望的正確結(jié)果描述（期望結(jié)果）缺陷產(chǎn)生的原因分析 （如果測試人員能判定原因就給出，不能判定就無需給出，以免誤導(dǎo)開發(fā)人員）注釋文字和截取的缺陷圖像l 缺陷標(biāo)題 、準(zhǔn)確，提供缺陷的本質(zhì)信息，并便于讀者搜索查尋。： 盡量按缺陷發(fā)生的原因與結(jié)果的方式書寫（“執(zhí)行完A后，發(fā)生B，”或者“發(fā)生B， 當(dāng)A執(zhí)行完后”），例如“功能中斷，功能不正確，行為不起作用，”等。應(yīng)該使用具體文字說明功能如何中斷，如何不正確，或如何不起作用，請使用關(guān)鍵字，避免使術(shù)語、俚語或過分具體的測試細(xì)節(jié)l 復(fù)現(xiàn)步驟復(fù)現(xiàn)步驟包含如何使別人能夠很容易的復(fù)現(xiàn)該缺陷的完整步驟。為了達(dá)到這個(gè)要求，復(fù)現(xiàn)步驟的信息必須是完整的、準(zhǔn)確的、簡明的、可復(fù)現(xiàn)的。不友好的重現(xiàn)步驟： ，而且句子結(jié)構(gòu)混亂，可讀性很差，難于理解；，丟失操作的必要步驟。由于提供的步驟不完整，開發(fā)人員經(jīng)常需要種種猜測，努力嘗試復(fù)現(xiàn)的步驟，浪費(fèi)了大量時(shí)間。由于缺少關(guān)鍵步驟，這些缺陷通常被工程師以“不能復(fù)現(xiàn)”為由拒絕給測試人員。，軟件開發(fā)人員無法判斷該缺陷影響的軟件部分，不能進(jìn)行徹底修正。正確的重現(xiàn)步驟：，步驟不多余，無遺漏 ，避免復(fù)雜句型和句式 ，不要包括每個(gè)操作步驟執(zhí)行后的結(jié)果l 實(shí)際結(jié)果，僅列出缺陷的一到兩個(gè)表現(xiàn)特征。使用注釋部分列出缺陷的其它問題；，將隨后的步驟和缺陷表現(xiàn)特征移到注釋部分。1. 測試人員發(fā)現(xiàn)并記錄缺陷2. 測試人員將缺陷提交給項(xiàng)目經(jīng)理，項(xiàng)目經(jīng)理會(huì)對該缺陷進(jìn)行確認(rèn) 如果確認(rèn)為是一個(gè)缺陷，那么項(xiàng)目經(jīng)理會(huì)將該缺陷進(jìn)行分配 如果項(xiàng)目經(jīng)理認(rèn)為這不是一個(gè)缺陷，那么會(huì)將該缺陷打回給測試人員，或者直接關(guān)閉3. 開發(fā)人員在接到這個(gè)缺陷后，也需要先對缺陷進(jìn)行判斷 如果是缺陷，就對缺陷進(jìn)行打開，處理完成后將缺陷重新返回給測試人員； 如果不是缺陷，則增加注釋，填寫拒絕原因，可直接返回給測試人員；，則與測試人先溝通復(fù)現(xiàn)方式，若還是無法復(fù)現(xiàn)，則添加注釋，問題到待跟蹤；、目前無法解決或經(jīng)項(xiàng)目組評估修復(fù)成本比較高的，需要放在后面版本修改的，則添加注釋將問題掛起4. 測試人員接收到開發(fā)人員返回的缺陷后，需要做如下處理 對于開發(fā)人員修復(fù)的缺陷進(jìn)行回歸測試，如果測試通過則置為關(guān)閉，測試不通過可以重開，重新將缺陷打回給開發(fā)人員，一般是存在爭議的缺陷，經(jīng)過項(xiàng)目組討論或評定后，確認(rèn)不是缺陷可以直接對其進(jìn)行關(guān)閉，如果確認(rèn)是缺陷，需要對其進(jìn)行重開,如果該缺陷可暫緩修復(fù)或修復(fù)成本較高，需另行找時(shí)間修復(fù)，可將缺陷掛起，打開，添加注釋，并分配到需求組人員；，則問題打開、添加注釋、分配給產(chǎn)品設(shè)計(jì)人員缺陷的嚴(yán)重等級按5類劃分分類嚴(yán)重等級等級描述5致命性的(Critical)不能執(zhí)行正常工作功能或重要功能，或者危及人身安全的，主要表現(xiàn)在：,非法退出 4嚴(yán)重的(Major)嚴(yán)重影響系統(tǒng)要求或基本功能實(shí)現(xiàn)的，主要表現(xiàn)在：3一般的(Generic)一般性錯(cuò)誤，比較容易修復(fù)的，主要表現(xiàn)在：(詳細(xì)文檔)、格式錯(cuò)誤2輕微的(Minor)比較輕微的錯(cuò)誤，一般是使用方面的問題，主要表現(xiàn)在：1建議性的(Suggestion)從測試人員角度提出的一些建議性的問題，不一定是缺陷第28頁