app安全测试

超赞！移动APP测试实用指南

译者注：本文从测试人员的角度出发，提出了100多个在测试移动App过程中需要考虑的问题。不管你是测试人员、开发、产品经理或是交互设计师，在进行移动App开发时，这些问题都很有参考价值。我和Queen合力译出此文，分享给大家，希望有所帮助和启发。

测试人员常被看作Bug寻找者，但你曾想过他们实际是如何开展测试的吗？你是否好奇他们究竟都做些什么，以及他们如何在一个典型的技术项目中体现价值？

作者将带你经历测试人员的思维过程，探讨他们测试移动App时的各种考虑。本文的目的在于揭示测试人员的这一思维过程，并展示他们通常所考虑内容的广度和深度。

1.测试人员需要询问问题

测试人员的核心能力在于提出有挑战性的相关问题。如果你能将调查、询问技巧和技术、产品的知识结合起来，渐渐地，你也会成为一个好的测试人员。

比如，测试人员可能会问：

o 这个App应该在什么平台上使用？

o 这个App到底是干什么的？

o 如果我这样做，会发生什么情况？

诸如此类。

测试人员能从各种场景中发现问题，它们可能来自对话、设计、文档、用户反馈或者是产品本身。这些可能性太多了……因此，让我们一探究竟吧！

2.从哪里开始测试 理想情况下，测试人员应该掌握所测产品的所有最新细节资料。但事实上这很少见，因此，像其他人一样，测试人员只能将就使用手上有限的资料。但这不是不能测试的借口！测试人员其实是可以从内部和外部多种不同的来源处收集信息的。

这个阶段，测试人员可以问这些问题：

o 有哪些信息：规格？项目会议？用户文档？知识渊博的团队成员？有支持论坛或者是公司在线论坛提供帮助？有现存Bug的记录吗？

o 该应用是在什么系统、平台和设备上进行运作和测试？

o 该应用是处理什么类型的数据（比如个人信息、信用卡等等）？

o 该应用有整合外部应用（比如API和数据来源）吗？

o 该应用需要用到特定的移动端网页吗？

o 现有消费者如何评价这个产品？

App测试方法总结

一、安全测试

1.软件权限

1）扣费风险：包括短信、拨打电话、连接网络等。

2）隐私泄露风险：包括访问手机信息、访问联系人信息等。

3）对App的输入有效性校验、认证、授权、数据加密等方面进行检测

4）限制/允许使用手机功能接入互联网

5）限制/允许使用手机发送接收信息功能

6）限制或使用本地连接

7）限制/允许使用手机拍照或录音

8）限制/允许使用手机读取用户数据

9）限制/允许使用手机写入用户数据

10）限制/允许应用程序来注册自动启动应用程序

2.安装与卸载安全性

1）应用程序应能正确安装到设备驱动程序上

2）能够在安装设备驱动程序上找到应用程序的相应图标

3）安装路径应能指定

4）没有用户的允许，应用程序不能预先设定自动启动

5）卸载是否安全，其安装进去的文件是否全部卸载

6）卸载用户使用过程中产生的文件是否有提示

7）其修改的配置信息是否复原

8）卸载是否影响其他软件的功能

9）卸载应该移除所有的文件

3.数据安全性

1）当将密码或其它的敏感数据输入到应用程序时，其不会被存储在设备中，同时密码也不会被解码。

2）输入的密码将不以明文形式进行显示。

3）密码、信用卡明细或其他的敏感数据将不被存储在它们预输入的位置上。

4）不同的应用程序的个人身份证或密码长度必须至少在4-8个数字长度之间。

5）当应用程序处理信用卡明细或其它的敏感数据时，不以明文形式将数据写到其他单独的文件或者临时文件中。以防止应用程序异常终止而又没有删除它的临时文件，文件可能遭受入侵者的袭击，然后读取这些数据信息。

6）党建敏感数据输入到应用程序时，其不会被存储在设备中。

7）应用程序应考虑或者虚拟机器产生的用户提示信息或安全警告

8）应用程序不能忽略系统或者虚拟机器产生的用户提示信息或安全警告，更不能在安全警告显示前，利用显示误导信息欺骗用户，应用程序不应该模拟进行安全警告误导用户。

9）在数据删除之前，应用程序应当通知用户或者应用程序提供一个“取消”命令的操作。

.

. APP测试清单

APP名称

版本

提交时间

App上线可跟据但不限于如下方面进行检测。

一、 安全性测试

软件权限检查 N/A 是 否

扣费风险：包括短信、拨打电话、连接网络等。

隐私泄露风险：包括访问手机信息、访问联系人信息等。

对App的输入有效性校验、认证、授权、数据加密等方面进行检测

限制/允许使用手机功能接入互联网

限制/允许使用手机发送接收信息功能

限制或使用本地连接

限制/允许使用手机拍照或录音

限制/允许使用手机读取用户数据

限制/允许使用手机写入用户数据

限制/允许应用程序来注册自动启动应用程序

安装与卸载安全性 N/A 是 否

应用程序应能正确安装到设备驱动程序上

能够在安装设备驱动程序上找到应用程序的相应图标

安装路径应能指定

没有用户的允许，应用程序不能预先设定自动启动

卸载是否安全，其安装进去的文件是否全部卸载

卸载用户使用过程中产生的文件是否有提示

其修改的配置信息是否复原

卸载是否影响其他软件的功能

卸载应该移除所有的文件

数据安全性 N/A 是 否

当将密码或其它的敏感数据输入到应用程序时，其不会被存储在设备中，同时密码也不会被解码。

输入的密码将不以明文形式进行显示。

密码、信用卡明细或其他的敏感数据将不被存储在它们预输入的位置上。

不同的应用程序个人身份证或密码长度必须至少在4-8个数字长度之 .

. 间。

当应用程序处理信用卡明细或其它的敏感数据时，不以明文形式将数据写到其他单独的文件或者临时文件中。以防止应用程序异常终止而又没有删除它的临时文件，文件可能遭受入侵者的袭击，然后读取这些数据信息。

之前老曹发过app测试的一些想法，我这里还有一些app测试的具体指标。部分是可以百度的到的，部分是自己总结的。

一、 测试周期

测试周期一般为两周，根据项目情况以及版本质量可适当缩短或延长测试时间。正式测试前先向主管或产品经理确认项目排期。

二、测试资源

测试任务开始前，检查各项测试资源。

1. 产品功能需求文档

2. 产品原型图

3. 产品效果图

4. 行为统计分析定义文档

5. 测试设备（ios3.1.3-ios5.0.1；Android1.6-Android4.0；Winphone7.1及以上；Symbian v3/v5/Nokia Belle等）

6. 其他（例如有秒杀专题的项目，需要规划秒杀时间表；有优惠券使用的项目，需要申请添加优惠券数据；支付宝/银联支付功能的项目，需要提前申请支付宝/银联账户等等）

二、测试要点 1. 接收版本

本人觉得，这个过程可以直接略过。非专业测试着，不喜勿拍。

2. UI测试

A） 确保手头的原型图与效果图为当前最新版本。

B） 确保产品UI符合产品经理制定的原型图与效果图。

C） 一切界面问题以效果图为准，若有用户体验方面的建议，必须先以邮件或口头的形式询问产品经理。

D）由于测试环境中的数据为模拟数据，测试时必须预先考虑到正式环境中可能出现的数据类型。

3. 功能测试

A） 确保手头的功能需求文档为当前最新版本。

B） 确保所有的软件功能都已实现且逻辑正常。

C） 一切功能问题以需求文档为准，若有用户体验方面的建议，必须先以邮件或口头的形式询问产品经理。个人建议，用户体验方面的建议，优先级放在修复bug之后。

D）若有些功能在技术上难以实现或者由于排期的原因无法在短时间内实现，必须得到产品经理的确认，而不是单单只听开发人员的技术解释。此处确认最好以邮件形式存在。 E）所有的“外部原因”问题，都需要尽早地督促开发人员与客户服务端人员联系协调解决。并在之后的测试报告中予以体现。