【正文】 權(quán)和縱向越權(quán)操作216。 頁(yè)面是否進(jìn)行權(quán)限判斷216。 頁(yè)面資源標(biāo)志是否和用戶信息匹配216。 用戶登錄后，應(yīng)以會(huì)話中的用戶session的用戶身份信息為準(zhǔn)。216。 每個(gè)URL必須堅(jiān)定權(quán)限，不能通過(guò)菜單屏蔽或按鈕disable作為限制條件。l 認(rèn)證測(cè)試認(rèn)證測(cè)試是為了避免用戶賬號(hào)和密碼遭到暴力破解而進(jìn)行的測(cè)試216。 系統(tǒng)存在驗(yàn)證碼機(jī)制。216。 不允許簡(jiǎn)單面的存在。如純英文、純數(shù)字等。216。 認(rèn)證失敗的錯(cuò)誤提示不應(yīng)該提示詳細(xì)信息，避免攻擊者根據(jù)提示信息改良破解方式。216。 系統(tǒng)存在鎖定策略。216。 系統(tǒng)不存在認(rèn)證繞過(guò)的漏洞。216。 找回密碼和修改密碼不存在漏洞。216。 使用安全的數(shù)據(jù)傳輸。216。 強(qiáng)口令策略。l 會(huì)話管理測(cè)試會(huì)話管理用于保持用戶的整個(gè)會(huì)話活動(dòng)與計(jì)算機(jī)系統(tǒng)跟蹤過(guò)程，根據(jù)項(xiàng)目需求，關(guān)注WEB服務(wù)器的會(huì)話管理。216。 用戶登錄后，身份信息由服務(wù)器端會(huì)話的Session中的用戶信息為準(zhǔn)。216。 cookie中不會(huì)帶有session ID信息。216。 用戶操作停止后會(huì)話保持時(shí)間不會(huì)超過(guò)10分鐘，超過(guò)10分鐘會(huì)跳轉(zhuǎn)回登錄界面。216。 用戶登錄后，每次請(qǐng)求服務(wù)器數(shù)據(jù)后session ID都會(huì)改變。216。 注銷(xiāo)后用戶信息被清除。l 服務(wù)器測(cè)試216。 服務(wù)器運(yùn)行賬號(hào)不應(yīng)該是特權(quán)賬號(hào)或高級(jí)別權(quán)限賬號(hào)，如“root”“administrator”等。216。 未使用的端口應(yīng)為關(guān)閉狀態(tài)。216。 不能通過(guò)任何方式獲得服務(wù)器的詳細(xì)版本信息。l 數(shù)據(jù)注入測(cè)試當(dāng)系統(tǒng)接受數(shù)據(jù)注入時(shí)，可能會(huì)造成數(shù)據(jù)泄露、數(shù)據(jù)被修改等嚴(yán)重影響，導(dǎo)致業(yè)務(wù)中斷。216。 不存在注入點(diǎn)。216。 頁(yè)面中不包含類似系統(tǒng)命令的返回信息。安裝測(cè)試只針對(duì)C/S架構(gòu)的系統(tǒng)（即App），需要驗(yàn)證App是否能正確安裝、運(yùn)行、卸載以及操作過(guò)程和操作前后對(duì)系統(tǒng)資源的使用情況。測(cè)試內(nèi)容l 安裝1）軟件在不同操作系統(tǒng)（Android、iOS）下安裝是否正常（手機(jī)端）。2）軟件安裝后的是否能夠正常運(yùn)行，安裝后的文件夾及文件是否寫(xiě)到了指定的目錄里。 3）軟件安裝各個(gè)選項(xiàng)的組合是否符合概要設(shè)計(jì)說(shuō)明 4)）軟件安裝向?qū)У腢I測(cè)試 5）軟件安裝過(guò)程是否可以取消，點(diǎn)擊取消后，寫(xiě)入的文件是否如概要設(shè)計(jì)說(shuō)明處理 6）軟件安裝過(guò)程中意外情況的處理是否符合需求（如死機(jī)，重啟，斷電） 7）安裝空間不足時(shí)是否有相應(yīng)提示8）安裝后沒(méi)有生成多余的目錄結(jié)構(gòu)和文件9）對(duì)于需要通過(guò)網(wǎng)絡(luò)驗(yàn)證之類的安裝，在斷網(wǎng)情況下嘗試一下10）還需要對(duì)安裝手冊(cè)進(jìn)行測(cè)試，依照安裝手冊(cè)是否能順利安裝l 卸載1）直接刪除安裝文件夾卸載是否有提示信息。 2）測(cè)試系統(tǒng)直接卸載程序是否有提示信息。 3）測(cè)試卸載后文件是否全部刪除所有的安裝文件夾。4）卸載過(guò)程中出現(xiàn)的意外情況的測(cè)試（如死機(jī)、斷電、重啟）。 5）卸載是否支持取消功能，單擊取消后軟件卸載的情況 。6）系統(tǒng)直接卸載UI測(cè)試，是否有卸載狀態(tài)進(jìn)度條提示 。（*號(hào)為必須要素）*缺陷ID（由系統(tǒng)自動(dòng)生成，唯一的） *缺陷的標(biāo)題測(cè)試的軟件和硬件環(huán)境（特殊環(huán)境下可注明） *測(cè)試的軟件版本（缺陷發(fā)現(xiàn)版本和修復(fù)版本，發(fā)現(xiàn)版本是指當(dāng)前版本，修復(fù)版本一般由項(xiàng)目經(jīng)理確認(rèn)） *缺陷的類型（功能的、性能的、使用方面、安全的等等） *缺陷的嚴(yán)重程度（由測(cè)試人員確定） 缺陷的處理優(yōu)先級(jí)（一般由項(xiàng)目經(jīng)理確定） *復(fù)現(xiàn)缺陷的操作步驟（操作步驟） 復(fù)現(xiàn)缺陷的測(cè)試數(shù)據(jù) （特定數(shù)據(jù)需要注明，比如特定的賬號(hào)） *缺陷的實(shí)際結(jié)果描述（錯(cuò)誤描述） *期望的正確結(jié)果描述（期望結(jié)果）缺陷產(chǎn)生的原因分析 （如果測(cè)試人員能判定原因就給出，不能判定就無(wú)需給出，以免誤導(dǎo)開(kāi)發(fā)人員）注釋文字和截取的缺陷圖像l 缺陷標(biāo)題 、準(zhǔn)確，提供缺陷的本質(zhì)信息，并便于讀者搜索查尋。： 盡量按缺陷發(fā)生的原因與結(jié)果的方式書(shū)寫(xiě)（“執(zhí)行完A后，發(fā)生B，”或者“發(fā)生B， 當(dāng)A執(zhí)行完后”），例如“功能中斷，功能不正確，行為不起作用，”等。應(yīng)該使用具體文字說(shuō)明功能如何中斷，如何不正確，或如何不起作用，請(qǐng)使用關(guān)鍵字，避免使術(shù)語(yǔ)、俚語(yǔ)或過(guò)分具體的測(cè)試細(xì)節(jié)l 復(fù)現(xiàn)步驟復(fù)現(xiàn)步驟包含如何使別人能夠很容易的復(fù)現(xiàn)該缺陷的完整步驟。為了達(dá)到這個(gè)要求，復(fù)現(xiàn)步驟的信息必須是完整的、準(zhǔn)確的、簡(jiǎn)明的、可復(fù)現(xiàn)的。不友好的重現(xiàn)步驟： ，而且句子結(jié)構(gòu)混亂，可讀性很差，難于理解；，丟失操作的必要步驟。由于提供的步驟不完整，開(kāi)發(fā)人員經(jīng)常需要種種猜測(cè)，努力嘗試復(fù)現(xiàn)的步驟，浪費(fèi)了大量時(shí)間。由于缺少關(guān)鍵步驟，這些缺陷通常被工程師以“不能復(fù)現(xiàn)”為由拒絕給測(cè)試人員。，軟件開(kāi)發(fā)人員無(wú)法判斷該缺陷影響的軟件部分，不能進(jìn)行徹底修正。正確的重現(xiàn)步驟：，步驟不多余，無(wú)遺漏 ，避免復(fù)雜句型和句式 ，不要包括每個(gè)操作步驟執(zhí)行后的結(jié)果l 實(shí)際結(jié)果，僅列出缺陷的一到兩個(gè)表現(xiàn)特征。使用注釋部分列出缺陷的其它問(wèn)題；，將隨后的步驟和缺陷表現(xiàn)特征移到注釋部分。1. 測(cè)試人員發(fā)現(xiàn)并記錄缺陷2. 測(cè)試人員將缺陷提交給項(xiàng)目經(jīng)理，項(xiàng)目經(jīng)理會(huì)對(duì)該缺陷進(jìn)行確認(rèn) 如果確認(rèn)為是一個(gè)缺陷，那么項(xiàng)目經(jīng)理會(huì)將該缺陷進(jìn)行分配 如果項(xiàng)目經(jīng)理認(rèn)為這不是一個(gè)缺陷，那么會(huì)將該缺陷打回給測(cè)試人員，或者直接關(guān)閉3. 開(kāi)發(fā)人員在接到這個(gè)缺陷后，也需要先對(duì)缺陷進(jìn)行判斷 如果是缺陷，就對(duì)缺陷進(jìn)行打開(kāi)，處理完成后將缺陷重新返回給測(cè)試人員； 如果不是缺陷，則增加注釋，填寫(xiě)拒絕原因，可直接返回給測(cè)試人員；，則與測(cè)試人先溝通復(fù)現(xiàn)方式，若還是無(wú)法復(fù)現(xiàn)，則添加注釋，問(wèn)題到待跟蹤；、目前無(wú)法解決或經(jīng)項(xiàng)目組評(píng)估修復(fù)成本比較高的，需要放在后面版本修改的，則添加注釋將問(wèn)題掛起4. 測(cè)試人員接收到開(kāi)發(fā)人員返回的缺陷后，需要做如下處理 對(duì)于開(kāi)發(fā)人員修復(fù)的缺陷進(jìn)行回歸測(cè)試，如果測(cè)試通過(guò)則置為關(guān)閉，測(cè)試不通過(guò)可以重開(kāi)，重新將缺陷打回給開(kāi)發(fā)人員，一般是存在爭(zhēng)議的缺陷，經(jīng)過(guò)項(xiàng)目組討論或評(píng)定后，確認(rèn)不是缺陷可以直接對(duì)其進(jìn)行關(guān)閉，如果確認(rèn)是缺陷，需要對(duì)其進(jìn)行重開(kāi),如果該缺陷可暫緩修復(fù)或修復(fù)成本較高，需另行找時(shí)間修復(fù)，可將缺陷掛起，打開(kāi)，添加注釋，并分配到需求組人員；，則問(wèn)題打開(kāi)、添加注釋、分配給產(chǎn)品設(shè)計(jì)人員缺陷的嚴(yán)重等級(jí)按5類劃分分類嚴(yán)重等級(jí)等級(jí)描述5致命性的(Critical)不能執(zhí)行正常工作功能或重要功能，或者危及人身安全的，主要表現(xiàn)在：,非法退出 4嚴(yán)重的(Major)嚴(yán)重影響系統(tǒng)要求或基本功能實(shí)現(xiàn)的，主要表現(xiàn)在：3一般的(Generic)一般性錯(cuò)誤，比較容易修復(fù)的，主要表現(xiàn)在：(詳細(xì)文檔)、格式錯(cuò)誤2輕微的(Minor)比較輕微的錯(cuò)誤，一般是使用方面的問(wèn)題，主要表現(xiàn)在：1建議性的(Suggestion)從測(cè)試人員角度提出的一些建議性的問(wèn)題，不一定是缺陷您好，歡迎您閱讀我的文章，本W(wǎng)ORD文檔可編輯修改，也可以直接打印。閱讀過(guò)后，希望您提出保貴的意見(jiàn)或建議。閱讀和學(xué)習(xí)是一種非常好的習(xí)慣，堅(jiān)持下去，讓我們共同進(jìn)步。