十六、安全性测试
　　（1）SQL注入（比如登陆页面）
　　（2）XSS跨网站脚本攻击：程序或数据库没有对一些特殊字符进行过滤或处理，导致用户所输入的一些破坏性的脚本语句能够直接写进数据库中，浏览器会直接执行这些脚本语句，破坏网站的正常显示，或网站用户的信息被盗，构造脚本语句时，要保证脚本的完整性。
　　document.write("abc")
　　<script>alter("abc")</script>
　　（3）URL地址后面随便输入一些符号，并尽量是动态参数靠后
　　（4）验证码更新问题
　　（5）现在的Web应用系统基本采用先注册，后登陆的方式。因此，必须测试有效和无效的用户名和密码，要注意到是否大小写敏感，可以试多少次的限制，是否可以不登陆而直接浏览某个页面等。
　　（6）Web应用系统是否有超时的限制，也是说，用户登陆后在一定时间内（例如15分钟）没有点击任何页面，是否需要重新登陆才能正常使用。
　　（7）为了保证Web应用系统的安全性，日志文件是至关重要的。需要测试相关信息是否写进了日志文件、是否可追踪。
　　（8）当使用了安全套接字时，还要测试加密是否正确，检查信息的完整性。
　　（9）服务器端的脚本常常构成安全漏洞，这些漏洞又常常被黑客利用。所以，还要测试没有经过授权，不能在服务器端放置和编辑脚本的问题。
　　十七、性能测试
　　1连接速度测试
　　用户连接到Web应用系统的速度根据上网方式的变化而变化，他们或许是电话拨号，或是宽带上网。当下载一个程序时，用户可以等较长的时间，但如果仅仅访问一个页面不会这样。如果Web系统响应时间太长（例如超过5秒钟），用户会因没有耐心等待而离开。
　　另外，有些页面有超时的限制，如果响应速度太慢，用户可能还没来得及浏览内容，需要重新登陆了。而且，连接速度太慢，还可能引起数据丢失，使用户得不到真实的页面。
　　2负载测试
　　负载测试是为了测量Web系统在某一负载级别上的性能，以保证Web系统在需求范围内能正常工作。负载级别可以是某个时刻同时访问Web系统的用户数量，也可以是在线数据处理的数量。例如：Web应用系统能允许多少个用户同时在线？如果超过了这个数量，会出现什么现象？Web应用系统能否处理大量用户对同一个页面的请求？
　　3压力测试
　　负载测试应该安排在Web系统发布以后，在实际的网络环境中进行测试。因为一个企业内部员工，特别是项目组人员总是有限的，而一个Web系统能同时处理的请求数量将远远超出这个限度，所以，只有放在Internet上，接受负载测试，其结果才是正确可信的。
　　进行压力测试是指实际破坏一个Web应用系统，测试系统的反映。压力测试是测试系统的限制和故障恢复能力，也是测试Web应用系统会不会崩溃，在什么情况下会崩溃。黑客常常提供错误的数据负载，直到Web应用系统崩溃，接着当系统重新启动时获得存取权。
　　压力测试的区域包括表单、登陆和其他信息传输页面等。
　　备注：
　　1、负载/压力测试应该关注什么
　　测试需要验证系统能否在同一时间响应大量的用户，在用户传送大量数据的时候能否响应，系统能否长时间运行。可访问性对用户来说是极其重要的。如果用户得到“系统忙”的信息，他们可能放弃，并转向竞争对手。系统检测不仅要使用户能够正常访问站点，在很多情况下，可能会有黑客试图通过发送大量数据包来攻击服务器。出于安全的原因，测试人员应该知道当系统过载时，需要采取哪些措施，而不是简单地提升系统性能。
　　1）瞬间访问高峰
　　如果您的站点用于公布彩票的抽奖结果，好使系统在中奖号码公布后的一段时间内能够响应上百万的请求。负载测试工具能够模拟X个用户同时访问测试站点。
　　2）每个用户传送大量数据
　　网上书店的多数用户可能只订购1-5书，但是大学书店可能会订购5000本有关心理学介绍的课本?或者一个祖母为她的50个儿孙购买圣诞礼物(当然每个孩子都有自己的邮件地址)系统能处理单个用户的大量数据吗?
　　3）长时间的使用
　　如果站点用于处理鲜花订单，那么至少希望它在母亲节前的一周内能持续运行。如果站点提供基于web的email服务，那么点好能持续运行几个月，甚至几年。可能需要使用自动测试工具来完成这种类型的测试，因为很难通过手工完成这些测试。你可以想象组织100个人同时点击某个站点。但是同时组织100000个人呢。通常，测试工具在第二次使用的时候，它创造的效益，足以支付成本。而且，测试工具安装完成之后，再次使用的时候，只要点击几下。
　　采取措施：采用性能测试工具WAS、ACT，LR等协助进行测试
　　十八、测试中应该注意的其他情况
　　1、在测试时，与网络有关的步骤或者模块必须考虑到断网的情况
　　2、每个页面都有相应的Title，不能为空，或者显示“无标题页”
　　3、在测试的时候要考虑到页面出现滚动条时，滚动条上下滚动时，页面是否正常
　　4、URL不区分大小写，大小写不敏感
　　5、、对于电子商务网站，当用户并发购买数量大于库存的数量时，系统如何处理
　　6、测试数据避免单纯输入“123”、“abc“之类的，让测试数据尽量接近实际
　　7、进行测试时，尽量不要用超级管理员进行测试，用新建的用户进行测试。测试人员尽量不要使用同一个用户进行测试
　　8、提示信息：提示信息是否完整、正确、详细
　　9、帮助信息：是否提供帮助信息，帮助信息的表现形式（页面文字、提示信息、帮助文件），帮助信息是否正确、详细
　　10、可扩展性：是否由升级的余地，是否保留了接口
　　11、稳定性：运行所需的软硬件配置，占用资源情况，出现问题时的容错性，对数据的保护
　　12、运行速度：运行的快慢，带宽占用情况