EMAIL

xxxaa@xxx.xxx

1、没有@情况,如:aa.net

2、没有.符号,如:aa@qqcom

3、.后面没有字符:如 xxxaa@xxx.

4、.不在@后面, 如:xxxaa.@xxx.xxx

5、@与.之间没有其他字符,aa@.net.com

6、Email:不能有特殊字符:如?!等

7、email保存之后不能有空格

8、xxx@mail.tjnu.edu.cn,这种邮件格式保存是需要通过验证的

用户名:

1、已有用户名相同,要提示已有相同用户

2、用户名长度限制

3、密码和用户名:26位字母和数字的组合

4、密码可以为空格但是用户名不可以

5、密码和确认密码不同

6、密码长度的限制

7、修改密码:旧密码不正确,则修改不成功,提示

8、修改密码:修改的密码和确认密码不同时:则修改不成功

9、修改密码后需要退出,再次登陆,确定密码是修改后的密码。

10、登陆的时候,用户输入大写以及小写的字母进行登陆

11、登陆时,用户输入大写以及小写字母进行登陆

12、登陆成功后,用户名输入前后存在空格进行登陆,登录成功后,需要去掉前后的空格进行验证。

13、密码一定要匹配,

14、用户名和密码登录的时候,不能用明文传输,要注意返回到客户端是否有明文值

15、修改密码,需要验证原始的密码,且验证原始密码不能再客户端验证,必须在服务端进行验证:

客户端:一般来说,客户端就是我们使用的电脑(包括我们使用的浏览器IE,Firefox);服务器端就是存放网页与数据库数据的服务器。

二、下拉框:显示的内容是正确的,与需求的常数以及排序是一致的

三、检索:

1、输入特殊符号检索, 尤其是' "<>

2、空/空格检索:应该出现所有的记录

3、含有空格的检索,检查翻页功能是否正确,

4、模糊查询

5、检索结果如果可以多选记录进行某一操作,选择第10条记录进行操作,检查第1条记录是否也被处理(  10 包含1):只操作第10条

6、日期检索:需要查看是否查询正确的日期

7、检索的列表一般都是要进行表头排序的

四、翻页:前一页、后一页、第一页、最后一页是否正常、翻页后 ,总记录数是否正确,输入负数、小数、字母,看是否有提示、

五、打印:打印预览数据过多的时候,预览数据是否显示完全、使用PDF文件,然后在打印。

六、导出问题EXCEL:金额列,需要能够计算列的总和。内容正确、数量多,1000条数据导出、导出的列内容太长也需要进行换行显示

七、附件长传:附件名称包括特殊字符 .'"|\/<>,注意附件后缀的大小写、上传附件很大是否存在影响。附件名称非常长(极限在xp上是212个汉字),然后上传附件

八、PDF:一个英文单词在PDF中两行显示、PDF下载,在IE8上会被浏览器阻止掉,不好使用 、PDF中:超长填写换行,不能出现空白页英文的PDF,单词和标点后面要注意加上空格

九、发送邮件 IE8浏览器上,批量发送邮件,11条以上的记录,显示发送成功

十、业务功能记录日志:最后的操作时间以及每一次操作的日志

十一、Session超时的时候,再次操作,需要跳转到登陆首页,登陆后再跳转超时前的页面

十二:多次操作:在审核流程中,做审核操作时,点击了多次审核,可能造成越权审核。如:单位审核时,若进行双击审核,状态变成基金委已审核(本应该为等待基金委审核),即代替了基金委进行了审核(使用Fiddler工具可以测试)

十三、扫描枪?

十四:安全性测试:在IE8浏览器上,使用javascript:alert(document.cookie)脚本,验证Cookie中设置了"HttpOnly"是否设置 。

XSS攻击:

&email=<script>alert(document.cookie)</script>&TB_iframe=true&height=200&width=400

红色部分就是XSS注入的信息。 :可以使用Appscan

http://uatisis.nsfc.gov.cn/egrantweb/psn-manage/childlevel/pop-dialog?function=changecard&birth="'>

<IMG+SRC="http://img0.bdstatic.com/img/image/shouye/dengni12.jpg">

&TB_iframe=true&height=80&width=40

红色部分为链接注入。

http://uatisis.nsfc.gov.cn/egrantweb/psn-manage/childlevel/pop-dialog?function=checkemail&email=test@altoromutual.com'">

<iframe+src=http://www.venustech.com.cn>

&TB_iframe=true&height=1200&width=10000

红色部分为钓鱼网站的注入。

URL加密、URL权限:

URL保存等一些操作,应该都会存在传递参数,可以使用Fiddler功能查看访问的URL,检查URL中的参数是否加密。 (主键的code值一定要加密,最好加上时间戳。)

每个URL必须要加上权限,即若此用户无此URL权限,则不能访问