业务上限测试

业务上限测试

业务上限测试主要是针对一些电商类应用程序在进行业务办理流程中，服务端没有对 用户提交的查询范围、订单数量、金额等数据进行严格校验而引发的一些业务逻辑漏洞。 通常情况下，在业务流程中通过向服务端提交高于或低于预期的数据以校验服务端是否对 所提交的数据做预期强校验。存在此类脆弱性的应用程序，通常表现为查询到超出预期的 信息、订购或兑换超出预期范围的商品等。

 修复建议

在服务器端应该对订单 Token 对应的订购信息内容、用户身份、用户可用积分等进 行强校验。服务端应考虑交易风险控制，对产生异常情况的交易行为（如用户积分数额为 负值、兑换库存数量为 0 的商品等）应当直接予以限制、阻断，而非继续完成整个交易流 程。