web测试原理与实践分为四部分：

一、软件测试阶段

二、web测试基础

三、web测试实践

四、然之登录测试点分析

以下是对这四部分内容的细化：

一、软件测试阶段：

1.单元测试

2.集成测试----接口测试，所用工具：fiddler、jmeter、postman

3.系统测试----web测试、客户端测试、app测试

这三种测试（web、客户端、app）分别都含有三种测试：

3.1 功能测试    3.2 安全测试    3.3 性能测试

3.1 功能测试：

1）手工测试功能（测试流程）

2）自动化测试功能（GUI自动测试）工具：

selenium、IBM rational、QTP、silktest、Appium（对app测试而言）

3.2 安全测试  工具：fiddler工具（抓包，查看用户密码是否有加密、服务器端对输入数据是否有设置了断点进行二次校验）

3.3 性能测试  工具：jmeter（多线程数服务器响应时间）、loadrunner

二、web测试基础：

1.网络基础知识    2.web系统基础    3.web工作原理    4.深入web核心技术    5.web环境分类

1.网络基础知识

1.1 internet----互联网（外网），连接不同网络（根据不同的TCP/IP或OSI协议）

1.2 intranet----内部网（内网），企业内部防火墙以内的互联网

2.web系统基础

2.1 B/S 浏览器/服务器：属于特殊的C/S,必须用http协议，是一个通用的客户端

扩展：ActiveX(安全控件)、Ajax(输入框下面的提示语)、RIA（富互联网应用）

2.2 C/S 客户端/服务器：可以使用任何通信协议

3.web工作原理（3.1 www、3.2 URL 、3.3 http协议、3.4工具）

3.1 www

3.2 URL：

1）协议类型（http/https）

2）主机名（IP/域名）

3） 端口号（默认端口：http--80/https--443）

4）页面文件：路径+文件名（显示/省略默认页面）

5）参数

3.3 http协议：1）http协议组成    2）http协议的应用、

1）http协议组成：请求+响应

a.请求（请求行+请求头+请求正文）：

• 请求行（get获取/post传递（请求方式）+url协议版本）

• 请求头（cookie）

• 请求正文:post请求方式有请求正文/get的请求方式一定没有请求正文

b.响应（状态行+响应头+响应正文）：

• 状态行：协议版本+状态码

   状态码：

  1xx 指示消息，请求继续处理

  2xx 请求被成功接受

  3xx 重定向，要完成请求必须进行下一步操作（跳转页面）

  4xx 客户端错误（语法错误或请求无法实现）：401 unauthorized  /  404 not found

  5xx 服务器错误，无法实现合法的请求

  状态消息：1xx,2xx,3xx,4xx,5xx

• 响应头（session）

• 响应正文

2）http协议的应用：web安全、接口、web性能测试

web安全：.

• webform--查看密码是否加密

• 设置断点--修改webform里的数据，检测服务器端代码有没有做2次校验

3.4 工具:然之网页+fiddler

fiddler:设置过滤（勾选use Filter）

• 输入框输入网址

• 查看包（选择其中一条记录，双击，选择inspectors--raw...）

4.深入web核心技术:：4.1 网页分类    4.2 网站技术

4.1 网页分类：1）静态网页    2）动态网页

1）静态网页：用html语言编写，内容固定，上传到web服务器，在浏览器前台显示。

2）动态网页：

a.在浏览器前台显示，后台管理（增-insert into、删-delete、查-select、改-update）

b.关键内容在服务器端生成，能够访问服务器端的数据库，具有交互性，不利于搜索引擎信息收集

c.脚本引擎：php、jsp、aspx

ps:脚本引擎是计算机编程语言的解释器，是脚本运行所需的框架，提供可供脚本调用的二进制代码，解释执行用户的程序文本。

d.网站技术：服务器端、客户端

• 服务器端：web服务器、应用服务器、DB服务器

  web服务器--接收http请求，处理http请求，发送http响应给浏览器（可以直接发送html页面）

应用服务器--处理代码和建立数据库链接：

脚本引擎（php、jsp、aspx）

-- php(php语言--apache、php应用服务器环境)

-- jsp(java语言--tomcat)

--aspx(c#语言--IIS网页服务组件，服务于网络发布信息)

DB服务器：执行SQL语句，存储数据

PS:测试环境常见架构：

-- PHP开发语言--apache--mysql--linux

--java开发语言--tomcat:oracle-linux+mysql

--C#(C sharp,类似java)开发语言--IIS--sqlserver--windows server           

• 客户端：

浏览器---发送http请求并接收服务器发来的http响应

浏览器渲染过程（使用fiddler抓包查看）：自动发起网页包含链接的请求、自动缓存静态资源（清除浏览器）

静态资源：HTML、CSS、JS（JavaScript-直译式脚本语言，其解释器为javascript引擎）、图片、文档、音频、视频、文档

5. web环境分类：5.1 开发环境    5.2 测试环境    5.3生产环境

5.1 开发环境：开发人员用，客户端和服务器是同一台机器。

客户端：操作系统（winxp/win7/8/10，苹果操作系统）、浏览器（IE、火狐、谷歌、苹果）

服务器：操作系统（winxp/win7/8/10，苹果操作系统） 、自己电脑

5.2 测试环境：测试人员用，客户端和服务器不是同一台电脑，客户端多台

客户端：操作系统（winxp/win7/8/10，苹果操作系统）、浏览器（IE、火狐、谷歌、苹果）

服务器：操作系统（linux、windows server）

安装网页工具：web服务器、应用服务器、DB服务器

发布网页（对内）：

• 把网页放到指定文件夹--从代码库取代码到本机

• 把代码通过xftp工具上传到服务器上/tmp

• 修改权限，解压缩

• 复制解压后的文件夹到发布网页指定的文件夹

• 启动web服务器、DB服务器

• 打开网址、安装网页

5.3 生产环境：指正式提供对外服务的线上环境

客户端：广大的用户

服务器：操作系统（Linux、Windows server）

安装网页工具（web服务器、应用服务器、DB服务器）

发布网页（对外）-把网页放到指定文件夹

 服务器有多台，集群环境（负载均衡、故障转移）

三、web测试实践

1.web测试的要求    2.web测试的对象（测试点）

1.web测试的要求：1.1 需求    1.2 用户

1.1需求：

1）功能：功能测试、易用性测试、兼容性测试

2）安全

3）性能

 2.web测试的对象（测试点）

系统测试阶段：2.1 功能   2.2 性能    2.3安全

2.1功能：1）功能测试    2）易用性测试    3）兼容性测试

1）功能测试

•web的业务逻辑：OA系统、理财系统、财务系统、电子商务系统、银行系统

•web的数据行为：增加（数据流的顺序--不同模块/不同账户）、删除、查找、修改

•web的页面元素（控件）：

--页面部分/UI测试：清单；不同的分辨率和不同的浏览器版本是否显示；不同大小的窗口显示是否正确、美观；特殊效果是否显示-如特殊字体效果、动画效果；页面都有相应的title

--页面元素部分（通用测试点）：

----链接

----表单（如图）：

----列表：排序、分页、搜索

----日历控件（如图）：

----特殊字符

----转义字符

----刷新

----浏览器前进后退

----上传下载（如图）：

----导入导出（如图）：

----快捷键：Tab、enter

----js错误

•测试点的拆分：

2）易用性测试

3）兼容测试（如图）：

2.2 性能：1）原理    2）工具

1）原理：http协议

2）工具：

•badboy（如图）：

•jmeter（如图）：

2.3 安全：1）原理    2）工具    3）策略

1）原理：

•http协议

•cookie和session：作用域、有效期

2）工具：fiddler

3）策略：

•认证：目的是为了认出用户是谁（如图）

•授权/权限（如图）：

•文件上传（如图）：

•二次校验（如图）：

四、然之登录测试点分析：

1.功能    2.安全测试    3.性能测试

1.功能：1.1 功能测试    1.2 可用性测试    1.3 兼容测试

1.1 功能测试：1）登录功能、2）页面其他元素

1）登录功能：

• 用户名：

有效--用户名正确/前空格+正确用户名/正确用户+后空格

无效--为空/不存在的用户名/大小写区分用户名/正确用户名，中间含空格/全角英文用户名

边界值--使用最长用户名登录/注册模块用最长的用户名注册成功

• 密码：

有效--密码正确

无效--为空/（前空格/后空格/中间空格）+正确密码/密码大小写区分/密码错误/全角正确密码

边界值--使用最长密码登录/注册模块用最长的密码注册成功

• 正交法：用户名、密码两种取值的组合测试

• 单模块场景法：单用户登录退出再登录/多用户连续登录/多浏览器同时登录

• 多模块场景法：注册用户再登录/禁用用户再登录/锁定用户再登录/删除用户再登录

2）页面其他元素：

• 语言切换下拉框

• 登录按钮

• 保存登录复选框

• 版本链接

1.2 可用性测试：

• 页面元素风格

• Tab键响应

• Tab顺序

• 回车键响应

1.3 兼容测试：

• 操作系统兼容

•  浏览器兼容

• 正交法组合：windows:ie/firefox/chrome/safari；苹果操作系统：safari/ie/firefox/chrome；andriod:浏览器； ios:浏览器。

2. 安全测试：2.1 认证、2.2 授权、2.3 脚本攻击、2.4 SQL注入

2.1 认证：

1）密码密文显示

2）密码文本框不支持复制

3）敏感信息加密传输

4）同一账号多次登录失败，检查账号是否锁定

5）错误登录ip限制

6）同一账号在同一类型设备上重复登录

7）同一账号在不同类型设备上重复登录

8）session测试：

• 复制登录后的页面URL，在退出后直接打开

• 登录成功后，经过一段时间，检查是否需要重新登录

• session的过期时间设置是否合理

9）cookie测试：

• 有效时间内免登录

• 无效时间内需输入用户名、密码登录

• 用于保存一些关键数据的cookie是否被加密

• 登录时应该使用图片验证码（防止黑客破解密码，是一种区分用户是计算机和人的公共自动程序）

2.2 授权:不同权限的用户登录是否只能访问被授权的模块和功能

2.3 脚本攻击（如用户甲在一些论坛或留言本发布含html或javascript的帖子，用户乙在浏览该帖时，恶意脚本就会执行，盗取取用户乙的session信息）

2.4 SQL注入（输入内容，有单引号‘ 致用户名为空，可越过密码登录）

3. 性能测试