安全测试——验证&日志文件

口令验证

 

目前大多数的Web系统都设置了登陆功能，只有验证通过后，才能访问相关的数据信息。在测试此类功能时，必须测试有效和无效的用户名及口令，同时需考虑大小写、错误次数限制、代码注入等。口令安全测试通常融合在功能测试中。

 

 授权验证

典型的业务系统基本由用户、用户组（角色）、权限及基本功能构成，权限管理在整个业务系统中起着至关重要的作用，即使通过了口令验证，不同用户、不用角色仍可能具有不同的权限，因此在测试过程中需重点测试授权问题，如未登陆是否可以浏览信息、未授权是否可以使用功能、权限重叠时能否正确分配等。

 

【案例1 ECShop授权测试】

ECShop管理员设置时，可根据创建的角色，分配对应的权限，然后检测该角色的用户能否使用赋予的权限，未赋予的权限则不应使用。

 

1)   Admin登陆后台，创建“商品管理员”角色，并赋予商品管理相关权限，其他权限则不设置，如图1所示。

 

图1 ECShop后台创建角色

 

2)   创建管理员