【正文】 測試、數(shù)據(jù)注入測試，其余方面（如環(huán)境安全、媒體安全）可在部署和運維中保證。測試內(nèi)容l 權(quán)限管理測試驗證用戶是否可以進行橫向越權(quán)和縱向越權(quán)操作216。 頁面是否進行權(quán)限判斷216。 頁面資源標志是否和用戶信息匹配216。 用戶登錄后，應(yīng)以會話中的用戶session的用戶身份信息為準。216。 每個URL必須堅定權(quán)限，不能通過菜單屏蔽或按鈕disable作為限制條件。l 認證測試認證測試是為了避免用戶賬號和密碼遭到暴力破解而進行的測試216。 系統(tǒng)存在驗證碼機制。216。 不允許簡單面的存在。如純英文、純數(shù)字等。216。 認證失敗的錯誤提示不應(yīng)該提示詳細信息，避免攻擊者根據(jù)提示信息改良破解方式。216。 系統(tǒng)存在鎖定策略。216。 系統(tǒng)不存在認證繞過的漏洞。216。 找回密碼和修改密碼不存在漏洞。216。 使用安全的數(shù)據(jù)傳輸。216。 強口令策略。l 會話管理測試會話管理用于保持用戶的整個會話活動與計算機系統(tǒng)跟蹤過程，根據(jù)項目需求，關(guān)注WEB服務(wù)器的會話管理。216。 用戶登錄后，身份信息由服務(wù)器端會話的Session中的用戶信息為準。216。 cookie中不會帶有session ID信息。216。 用戶操作停止后會話保持時間不會超過10分鐘，超過10分鐘會跳轉(zhuǎn)回登錄界面。216。 用戶登錄后，每次請求服務(wù)器數(shù)據(jù)后session ID都會改變。216。 注銷后用戶信息被清除。l 服務(wù)器測試216。 服務(wù)器運行賬號不應(yīng)該是特權(quán)賬號或高級別權(quán)限賬號，如“root”“administrator”等。216。 未使用的端口應(yīng)為關(guān)閉狀態(tài)。216。 不能通過任何方式獲得服務(wù)器的詳細版本信息。l 數(shù)據(jù)注入測試當(dāng)系統(tǒng)接受數(shù)據(jù)注入時，可能會造成數(shù)據(jù)泄露、數(shù)據(jù)被修改等嚴重影響，導(dǎo)致業(yè)務(wù)中斷。216。 不存在注入點。216。 頁面中不包含類似系統(tǒng)命令的返回信息。安裝測試只針對C/S架構(gòu)的系統(tǒng)（即App），需要驗證App是否能正確安裝、運行、卸載以及操作過程和操作前后對系統(tǒng)資源的使用情況。測試內(nèi)容l 安裝1）軟件在不同操作系統(tǒng)（Android、iOS）下安裝是否正常（手機端）。2）軟件安裝后的是否能夠正常運行，安裝后的文件夾及文件是否寫到了指定的目錄里。 3）軟件安裝各個選項的組合是否符合概要設(shè)計說明 4)）軟件安裝向?qū)У腢I測試 5）軟件安裝過程是否可以取消，點擊取消后，寫入的文件是否如概要設(shè)計說明處理 6）軟件安裝過程中意外情況的處理是否符合需求（如死機，重啟，斷電） 7）安裝空間不足時是否有相應(yīng)提示8）安裝后沒有生成多余的目錄結(jié)構(gòu)和文件9）對于需要通過網(wǎng)絡(luò)驗證之類的安裝，在斷網(wǎng)情況下嘗試一下10）還需要對安裝手冊進行測試，依照安裝手冊是否能順利安裝l 卸載1）直接刪除安裝文件夾卸載是否有提示信息。 2）測試系統(tǒng)直接卸載程序是否有提示信息。 3）測試卸載后文件是否全部刪除所有的安裝文件夾。4）卸載過程中出現(xiàn)的意外情況的測試（如死機、斷電、重啟）。 5）卸載是否支持取消功能，單擊取消后軟件卸載的情況 。6）系統(tǒng)直接卸載UI測試，是否有卸載狀態(tài)進度條提示 。（*號為必須要素）*缺陷ID（由系統(tǒng)自動生成，唯一的） *缺陷的標題測試的軟件和硬件環(huán)境（特殊環(huán)境下可注明） *測試的軟件版本（缺陷發(fā)現(xiàn)版本和修復(fù)版本，發(fā)現(xiàn)版本是指當(dāng)前版本，修復(fù)版本一般由項目經(jīng)理確認） *缺陷的類型（功能的、性能的、使用方面、安全的等等） *缺陷的嚴重程度（由測試人員確定） 缺陷的處理優(yōu)先級（一般由項目經(jīng)理確定） *復(fù)現(xiàn)缺陷的操作步驟（操作步驟） 復(fù)現(xiàn)缺陷的測試數(shù)據(jù) （特定數(shù)據(jù)需要注明，比如特定的賬號） *缺陷的實際結(jié)果描述（錯誤描述） *期望的正確結(jié)果描述（期望結(jié)果）缺陷產(chǎn)生的原因分析 （如果測試人員能判定原因就給出，不能判定就無需給出，以免誤導(dǎo)開發(fā)人員）注釋文字和截取的缺陷圖像l 缺陷標題 、準確，提供缺陷的本質(zhì)信息，并便于讀者搜索查尋。： 盡量按缺陷發(fā)生的原因與結(jié)果的方式書寫（“執(zhí)行完A后，發(fā)生B，”或者“發(fā)生B， 當(dāng)A執(zhí)行完后”），例如“功能中斷，功能不正確，行為不起作用，”等。應(yīng)該使用具體文字說明功能如何中斷，如何不正確，或如何不起作用，請使用關(guān)鍵字，避免使術(shù)語、俚語或過分具體的測試細節(jié)l 復(fù)現(xiàn)步驟復(fù)現(xiàn)步驟包含如何使別人能夠很容易的復(fù)現(xiàn)該缺陷的完整步驟。為了達到這個要求，復(fù)現(xiàn)步驟的信息必須是完整的、準確的、簡明的、可復(fù)現(xiàn)的。不友好的重現(xiàn)步驟： ，而且句子結(jié)構(gòu)混亂，可讀性很差，難于理解；，丟失操作的必要步驟。由于提供的步驟不完整，開發(fā)人員經(jīng)常需要種種猜測，努力嘗試復(fù)現(xiàn)的步驟，浪費了大量時間。由于缺少關(guān)鍵步驟，這些缺陷通常被工程師以“不能復(fù)現(xiàn)”為由拒絕給測試人員。，軟件開發(fā)人員無法判斷該缺陷影響的軟件部分，不能進行徹底修正。正確的重現(xiàn)步驟：，步驟不多余，無遺漏 ，避免復(fù)雜句型和句式 ，不要包括每個操作步驟執(zhí)行后的結(jié)果l 實際結(jié)果，僅列出缺陷的一到兩個表現(xiàn)特征。使用注釋部分列出缺陷的其它問題；，將隨后的步驟和缺陷表現(xiàn)特征移到注釋部分。1. 測試人員發(fā)現(xiàn)并記錄缺陷2. 測試人員將缺陷提交給項目經(jīng)理，項目經(jīng)理會對該缺陷進行確認 如果確認為是一個缺陷，那么項目經(jīng)理會將該缺陷進行分配 如果項目經(jīng)理認為這不是一個缺陷，那么會將該缺陷打回給測試人員，或者直接關(guān)閉3. 開發(fā)人員在接到這個缺陷后，也需要先對缺陷進行判斷 如果是缺陷，就對缺陷進行打開，處理完成后將缺陷重新返回給測試人員； 如果不是缺陷，則增加注釋，填寫拒絕原因，可直接返回給測試人員；，則與測試人先溝通復(fù)現(xiàn)方式，若還是無法復(fù)現(xiàn)，則添加注釋，問題到待跟蹤；、目前無法解決或經(jīng)項目組評估修復(fù)成本比較高的，需要放在后面版本修改的，則添加注釋將問題掛起4. 測試人員接收到開發(fā)人員返回的缺陷后，需要做如下處理 對于開發(fā)人員修復(fù)的缺陷進行回歸測試，如果測試通過則置為關(guān)閉，測試不通過可以重開，重新將缺陷打回給開發(fā)人員，一般是存在爭議的缺陷，經(jīng)過項目組討論或評定后，確認不是缺陷可以直接對其進行關(guān)閉，如果確認是缺陷，需要對其進行重開,如果該缺陷可暫緩修復(fù)或修復(fù)成本較高，需另行找時間修復(fù)，可將缺陷掛起，打開，添加注釋，并分配到需求組人員；，則問題打開、添加注釋、分配給產(chǎn)品設(shè)計人員缺陷的嚴重等級按5類劃分分類嚴重等級等級描述5致命性的(Critical)不能執(zhí)行正常工作功能或重要功能，或者危及人身安全的，主要表現(xiàn)在：,非法退出 4嚴重的(Major)嚴重影響系統(tǒng)要求或基本功能實現(xiàn)的，主要表現(xiàn)在：3一般的(Generic)一般性錯誤，比較容易修復(fù)的，主要表現(xiàn)在：(詳細文檔)、格式錯誤2輕微的(Minor)比較輕微的錯誤，一般是使用方面的問題，主要表現(xiàn)在：1建議性的(Suggestion)從測試人員角度提出的一些建議性的問題，不一定是缺陷第28頁