接口測(cè)試_白李娜_20210317

• 接口自動(dòng)化測(cè)試比界面自動(dòng)化測(cè)試收益高，優(yōu)先級(jí)高。
  
  • 界面開發(fā)、后臺(tái)業(yè)務(wù)邏輯的開發(fā)是不同的人，前后臺(tái)開發(fā)的進(jìn)度不一樣。接口測(cè)試讓測(cè)試前移，在界面尚未開發(fā)出來(lái)時(shí)，測(cè)試人員能投入測(cè)試。投入越早，發(fā)現(xiàn)缺陷修復(fù)成本越低。
    
  • 接口測(cè)試可以發(fā)現(xiàn)一些界面發(fā)現(xiàn)不了的問(wèn)題。
    
    • 界面對(duì)參數(shù)做了檢查，非法的值限制輸入。通過(guò)接口可以做一些異常測(cè)試。
      
    • 一些場(chǎng)景比較復(fù)雜，通過(guò)界面很難構(gòu)造出來(lái)。
      
    • 淘寶：APP版本、小程序版本、網(wǎng)頁(yè)版本、平板、IOS，功能一樣，對(duì)應(yīng)后臺(tái)服務(wù)是一樣的。
      
      • 數(shù)據(jù)存儲(chǔ)、業(yè)務(wù)邏輯的處理在服務(wù)端完成，通過(guò)接口測(cè)試可以模擬更多場(chǎng)景。
        
      • 前臺(tái)只是負(fù)責(zé)頁(yè)面的展示。
        
  • 接口測(cè)試成本低，收益高。界面是頻繁變化的。后臺(tái)的接口一旦固定，很好變化。
    
• 接口測(cè)試原理
  
  • 用工具或代碼模擬客戶端向服務(wù)器發(fā)送請(qǐng)求報(bào)文，服務(wù)器接收請(qǐng)求報(bào)文后，對(duì)相應(yīng)的報(bào)文做處理并將處理的結(jié)果返回給工具或代碼，工具或代碼對(duì)返回的結(jié)果進(jìn)行校驗(yàn)。
    
• 接口測(cè)試點(diǎn)（重點(diǎn)）
  
  • 參數(shù)測(cè)試
    
    • 參數(shù)邊界值、等價(jià)類
      
    • 必填的參數(shù)、可選參數(shù)，必填參數(shù)不填，或者必填與可選之間參數(shù)組合
      
    • 參數(shù)為空、參數(shù)值為空
      
    • 多參數(shù)、少參數(shù)
      
    • 參數(shù)的默認(rèn)值是不是正確，是不是合理。
      
  • 業(yè)務(wù)邏輯
    
    • 單接口
      
    • 業(yè)務(wù)交互的測(cè)試：提交訂單，先去校驗(yàn)用戶有沒有登錄。
      
      • 登錄->提交訂單，成功
        
      • 用戶未登錄->提交訂單，報(bào)錯(cuò)
        
  • 返回值的測(cè)試
    
    • 各種錯(cuò)誤碼
      
    • 查詢類的接口，可能沒有參數(shù)。比如說(shuō)查詢用戶列表
      
      • 0條數(shù)據(jù)
        
      • 1條數(shù)據(jù)
        
      • 10000條數(shù)據(jù)
        
      • 100000條數(shù)據(jù)
        
    • 報(bào)表類的接口，數(shù)據(jù)庫(kù)中有大量數(shù)據(jù)，通過(guò)（算法）接口生成一個(gè)報(bào)表/趨勢(shì)圖，如何測(cè)試
      
      • 通過(guò)構(gòu)造不同的數(shù)據(jù)，看生成的圖表是否正確
        
  • 性能測(cè)試
    
  • 安全測(cè)試
    
    • 敏感信息是否加密，密碼、簡(jiǎn)單的加密，同一個(gè)密碼每次加密后的字符串是相同的。
      
    • 敏感信息不能記錄到日志。pwd（操作日志、系統(tǒng)日志）
      
    • 接口防攻擊的處理，在1分鐘內(nèi)調(diào)用100次以上的話，認(rèn)為受到攻擊，限制IP/用戶訪問(wèn)系統(tǒng)。
      
    • 參數(shù)前后臺(tái)都要去校驗(yàn)。
      
      • 前臺(tái)的校驗(yàn)（界面測(cè)試）是為了提示給用戶，防止用戶輸入不合法的數(shù)據(jù)，且出錯(cuò)時(shí)能有提示，
        
      • 后臺(tái)的校驗(yàn)（接口測(cè)試）是防止黑客繞過(guò)前臺(tái)，通過(guò)接口直接訪問(wèn)后臺(tái)，如果后臺(tái)不校驗(yàn)，非法數(shù)據(jù)可以直接寫入數(shù)據(jù)庫(kù)，且遭到攻擊。
        
• HTTP協(xié)議
  
  • 協(xié)議特點(diǎn)：
    
    • 無(wú)連接
      
      • C/S 結(jié)構(gòu)，基于TCP/UDP，長(zhǎng)連接的，登錄后，保持連接的狀態(tài)。
        
      • B/S結(jié)構(gòu)，基于HTTP，短連接，連接只在一發(fā)一收時(shí)保持，收發(fā)結(jié)束的時(shí)候連接斷開。
        
    • 媒體獨(dú)立
      
      • 發(fā)送給中類型的數(shù)據(jù)：文本、圖片、音頻、視頻……
        
    • 無(wú)狀態(tài)
      
      • 因?yàn)闀r(shí)短連接，本次發(fā)送請(qǐng)求前，不知道以前發(fā)送過(guò)什么。
        
  • 請(qǐng)求
    
    • 請(qǐng)求報(bào)文
      
      • 請(qǐng)求行，方法，url（get請(qǐng)求的參數(shù)在url中），協(xié)議版本
        
      • 請(qǐng)求頭
        
      • 空行
        
      • 請(qǐng)求體，post請(qǐng)求帶的參數(shù)
        
    • 示例
      
      • get請(qǐng)求，百度搜索
        
        • http://www.baidu.com/s?wd=hello
          
      • post請(qǐng)求，百度翻譯
        
        • https://fanyi.baidu.com/langdetect
          
        • Content-Type: application/x-www-form-urlencoded; charset=UTF-8
          
        • Content-Length: 17
          
        • User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/89.0.4389.82 Safari/537.36
          
  • 請(qǐng)求方法
    
    • 常用的方法：get、post
      
    • get：獲取資源，查詢類的操作。
      
    • post：增刪改查資源。
      
    • get與post差別
      
      • 傳參的方式不一樣
        
        • get把參數(shù)放到請(qǐng)求頭中，url?key=value&key=value&key=value
          
        • post請(qǐng)求把參數(shù)放到請(qǐng)求體中
          
      • get請(qǐng)求不安全，post請(qǐng)求安全
        
        • get請(qǐng)求的參數(shù)暴露在url中。
          
        • get請(qǐng)求的參數(shù)在url中，url有長(zhǎng)度的限制，但是post參數(shù)在請(qǐng)求體，沒有參數(shù)的限制。
          
        • get請(qǐng)求傳的參數(shù)是key=value格式的，post可以傳任意類型的參數(shù)，content-type設(shè)置參數(shù)的類型。
          
        • get請(qǐng)求和參數(shù)可以保存成瀏覽器的歷史記錄，post的參數(shù)保存不到歷史記錄中。
          
        • get請(qǐng)求可以保存為書簽，post請(qǐng)求不可以。
          
  • Cookie與Session
    
    • HTTP是無(wú)連接、無(wú)狀態(tài)的
      
      • 比如訪問(wèn)淘寶，A用戶瀏覽商品，B用戶將商品加購(gòu)物車。系統(tǒng)怎么判斷把商品加到B的購(gòu)物車，而不是A的購(gòu)物車。
        
    • 用戶識(shí)別的技術(shù)：Cookie、Session、Token
      
      • Cookie：識(shí)別客戶身份的信息記錄在客戶端的。（身份證）
        
        • 名字：就是給Cookie起一個(gè)名字。
          
        • 值：Cookie中記錄的信息內(nèi)容。
          
        • 路徑與域：Cookie的作用范圍。
          
        • 過(guò)期時(shí)間：如果不設(shè)置過(guò)期時(shí)間，稱作會(huì)話Cookie，瀏覽器關(guān)閉的時(shí)候失效；設(shè)置過(guò)期時(shí)間后，稱作持久Cookie，等到過(guò)期時(shí)間時(shí)失效。
          
        • 其他
          
          • Set-Cookie：服務(wù)器響應(yīng)頭中帶的
            
          • Cookie：客戶端請(qǐng)求頭中帶的。
            
          • Cookie存放在客戶端的本地，同一個(gè)用戶多次登錄、多臺(tái)機(jī)器上登錄，服務(wù)器分配的Cookie信息不同。
            
      • Session：識(shí)別客戶身份的信息記錄在服務(wù)器端，客戶端有一個(gè)SessionId（比如某個(gè)工廠，大門處的客戶列表，來(lái)訪的人在列表中可以進(jìn)入）
        
      • Cookie與Session對(duì)比
        
        • Cookie保存在客戶端，Session在服務(wù)器，Session更加安全。
          
        • Session在服務(wù)器的內(nèi)存中、數(shù)據(jù)庫(kù)、文件，如果用戶量比較大，會(huì)占用服務(wù)器的資源。
          
        • Cookie有效期比較長(zhǎng)，Session有效期短。
          
      • Token：
        
        • 客戶端頻繁登錄服務(wù)器，服務(wù)器每次判斷用戶名密碼是否正確，查詢比較頻繁，服務(wù)器壓力大。
          
    • HTTP與HTTPs的差別
      
      • 使用HTTPs的網(wǎng)站要去數(shù)字認(rèn)證機(jī)構(gòu)申請(qǐng)CA證書，證明服務(wù)器與瀏覽器的身份。證書需要年費(fèi)。
        
      • 默認(rèn)端口號(hào)不一樣。HTTP端口號(hào)是80，HTTPs端口號(hào)是443。
        
      • HTTPs的技術(shù)門檻較高。
        
      • HTTPs加重了服務(wù)端的負(fù)擔(dān)，降低了用戶的訪問(wèn)速度。
        
  • Fiddler
    
    • 對(duì)Requests加斷點(diǎn)：比如注冊(cè)接口，界面對(duì)密碼做了限制，只能輸入5~18位的密碼，超過(guò)這個(gè)范圍的不能輸入。要測(cè)試密碼異常的場(chǎng)景，可以用Fiddler先抓到正常的報(bào)文，然后將參數(shù)的值修改為非法的，比如19位的密碼后，再發(fā)送?？捶?wù)器是否能正常處理。
      
      • 增加斷點(diǎn)：bpu https://www.baidu.com/s   （https://www.baidu.com/s 是百度搜索的接口地址）
        
      • 取消斷點(diǎn)：bpu
        
    • 對(duì)Response加斷點(diǎn)
      
      • 增加斷點(diǎn)：bpafter https://www.baidu.com/s  
        
      • 取消斷點(diǎn)：bpafter