上文我们已经开发完成性能测试脚本并调试通过，接下来，我们模拟电商秒杀的业务场景对下单接口进行压力测试。 1. 超卖现象 首先我们需要明确一个很重要的业务逻辑，就是：订单商品的总数量不能超过剩余库存总量，即下单时如果库存为0，就应提示“库存不足”，无法下单成功，基于这一点，我们在设计及实现创建订单接口时就需要先判断库存是否大于0，如果大于0才可以创建订单并扣减库存，如果小于等于0，则应提示“库存不足”，核心代码如下所示（完成代码参见GitHub：https://github.com/8784285/order_web.git ，文件路径：api/run.py）：  data = dbservic...

前文我们介绍了JMeter测试工具的使用，接下来我们就以电商项目的接口为例，通过JMeter工具来开发实现性能测试脚本。 1.获取商品接口 获取商品接口无需登录，只需要1个http协议的请求就可以实现，JMeter工具中配置的具体步骤如下： ❶测试计划 打开JMeter，在菜单左侧默认有 “测试计划”，在这个测试计划下面可以添加线程组、配置元件、***等元件。如下图所示：   ❷线程组 添加方法：右键点击“测试计划”->添加->线程(用户)->线程组 线程组界面如下图所示：  线程组中有以下几个重要属性  线程数：即虚拟用户数。设置多少个线程数也就是设置多少虚拟用户数 Ram...

1. 业务场景 我们以一个简化版的电商网站项目为例，其中涉及到6块功能，分别是登录、添加商品、商品列表、下订单、我的订单、订单详情，每个功能都有相应的权限限制，并且调用对应的接口来做相应的业务逻辑处理，完成后跳转到下一页面。具体页面/功能、权限、调用接口、动作及跳转的逻辑关系如下：    页面 权限 调用接口 动作及跳转    1登录 所有用户 login 点击【登录】->商品页   2添加商品 管理员权限 add_product 无   3商品列表 所有用户 get_product 点击【下单】->订单   4订单 订单所属用户 order 点击【支付】->我的订单   -...

要讲性能测试工具，就不得不提一款重磅性能测试工具LoadRunner，但近些年，随着互联网行业的崛起，LoadRunner的江湖统治地位已经被开源的JMeter工具所取代，这和x86服务器取代小型机、MySQL取代Oracle、Apache取代Weblogic等趋势不谋而合，据某机构的调查，性能测试工具中，Jmeter市场占有率已经50%＋，超过了老大哥LoadRunner，而且，JMeter不止可以做性能测试，还可以做接口测试，并且其与其他构建工具结合，还可以实现接口自动化测试，笔者在多年以前，就曾基于JMeter+Ant实现了接口的自动化测试应用在实际工作中，取得了非常好的应用效果，因此，...

接口除了存在前面两个章节讲的sql注入、上传漏洞安全风险之外，在业务应用中也存在一些业务逻辑漏洞，本文以一个简化版的电商网站项目为例（有关电商网站的业务场景及具体设计，参见附录2--电商系统设计），来介绍两个非常典型的漏洞：越权访问和支付漏洞 1. 越权访问 按附录2中介绍的方法，启动接口服务和Web网站，在Web电商系统中模拟用户下单、支付到查看订单的流程 1）用户下单 浏览器地址栏中输入"http://localhost:5001"，打开网站登录界面，如下图所示：   我们用Mr.null用户（用户名：Mr.null，密码：a123456）登录系统，进入商品列表页面，如...

1. 什么是接口性能测试？ 对于一个用户来说，性能的好坏最直接的体现就是响应速度快还是慢。但是对于研发和测试人员来说，性能的关注点就不仅局限在响应速度了，还包括并发用户数、在线用户数、服务处理能力、错误率、以及服务器资源耗费、系统稳定性等等。 接口性能测试就是利用测试工具模拟真实场景大量用户的访问，来检验接口服务的响应是否满足用户期望，同时验证得到接口服务所能承受的最大访问量，为接口服务的优化、服务器资源的调配等提供依据。 2. 性能模型 为了进一步理解接口性能测试，我们先来看看下面超市收银台的例子，事先做如下假设：  超市共有3个收银台； 每个收银台收银时间固定为5分钟（不论购物多少）； 顾...

1. 什么是pytest框架？ pytest是Python的第三方测试框架，是基于unittest的扩展框架，它是一个非常成熟的全功能的Python测试框架，主要有以下几个特点：  简单灵活，容易上手 支持参数化 能够支持简单的单元测试和复杂的功能测试，还可以用来做selenium/appnium等自动化测试、接口自动化测试（pytest+requests） pytest具有很多第三方插件，并且可以自定义扩展，比较好用的如pytest-selenium（集成selenium）、pytest-html（完美html测试报告生成）、pytest-rerunfailures（失败case重复执行）、...

前面章节我们介绍了基于Postman工具以及Python脚本实现自动化测试，但并没有与代码的提交进行关联，如果开发人员提交的代码存在导致接口错误的问题，那我们的自动化测试case无法第一时间反馈给开发人员，因此我们需要将代码提交与自动化测试相关联，在提交代码并将代码部署到服务器之后立即触发自动化测试，以便第一时间反馈接口是否存在导致用例失败的bug。 1. 提交代码触发构建 提交代码触发自动化测试的整体流程图如下图所示：   从上图可以看到，整个流程包括如下7个主要步骤： ❶提交代码：开发完成接口服务代码的开发后，将代码提交到GitHub服务器； ❷定时轮询：Jenkins Job1定时轮询检...

上一节我们介绍了基Python + unittest框架实现接口自动化测试的相关内容，本节我们继续介绍如何对重复的一些操作进行封装，增加代码的复用性以及框架的可维护性。 1. 模块封装 上一节中的测试用例，不论是请求login接口还是请求door接口，都是通过调用python的requests模块发送请求，在每个用例中单独实现，因此我们可以将这部分在每个用例中请求接口的操作做统一封装，方便各个测试用例使用以及后期维护。 1）excel数据读取模块封装 在common包中新建一个模块，命名为"read_Xls.py"，示例代码如下： #coding:utf-8 __autho...

上两节我们介绍了基于Postman工具实现接口自动化测试的过程，本节我们继续介绍基于Python + unittest框架，实现接口的自动化测试。 1. unittest 每种开发语言都有各自语言事实上的标准单元测试框架，Python当然也不例外，unittest是Python标准库中自带的单元测试框架，unittest有时候也被称为PyUnit（请注意，PyUnit不是pytest，pytest是Python另一个第三方单元测试库），就像JUnit是Java语言的标准单元测试框架一样，unittest(PyUnit)则是Python语言的标准单元测试框架。 unittest单元测试框架不仅适...

1. MD5加密不可逆，到底有什么用呢？ 参考回答： 1）MD5算法特点：  定长性：对不同的数据加密的结果是定长字符（不管文件多大都一样） 结果一致性：对相同的数据加密，得到的结果是一样的 容易计算：从原数据计算出MD5值很容易 抗修改性：信息“指纹”，对原数据进行任何改动，哪怕只修改1个字节，所得到的MD5值都有很大区别 弱抗碰撞：已知原数据和其MD5值，想找到一个具有相同MD5值的数据（即伪造数据）是非常困难的 强抗碰撞：想找到两个不同的数据，使它们具有相同的MD5值，是非常困难的 不可逆性：MD5加密过程本身就是一个有损的加密过程，因此几乎不可能还原出原始数据  2）实际应用： ❶ 密...

Ⅰ 工具软件安装 1. Postman安装指南 1）官方下载地址 Postman官方下载地址：https://www.postman.com/downloads/ 2）安装步骤 Postman支持Windows、MacOS、linux操作系统，本文以Windows系统安装“Postman-win64-7.25.0-Setup.exe”为例，安装过程如下： 下载完相应版本安装包后，直接双击安装包，会自动安装到本地电脑中。 3）启动/打开工具 点击桌面快捷菜单或从开始菜单点击Postman菜单，即可打开Postman工具，打开后的界面如下图所示：  2. Charles安装指南 1）官方下载地址 ...

上一节我们介绍了测试数据参数化、测试数据关联以及Postman添加“检查点”的相关知识，本节我们以具体的测试case来演示利用Postman工具进行自动化测试。 为了更真实的模拟实际接口应用场景，本节示例中增加登录的用户名以及密码从数据库读取的功能，因而使用了MySQL数据库，为方便部署以及后面5.2章节上传漏洞演示之用，本文直接安装PHPStudy套件（有关PHPStudy工具的安装，参见附录1--工具软件安装篇中的PHPStudy安装指南，其中包含MySQL数据库），先实现访问数据库鉴权的代码（示例代码参见GitHub：https://github.com/8784285/nowcoder...

前面章节我们用Postman工具设计测试用例对接口进行了测试，这个过程需要人工执行case，并且需要人工判断response返回的结果是否与预期结果一致，如果api众多，人工测试验证的效率就是很低的，因此我们需要引入自动化测试的手段，来提升测试效率。 那如果用自动化测试，如何判断接口返回结果是否正确呢？这就需要在程序或者工具中设置“检查点（或者叫断言）”来判断返回的结果是否与检查点设置的值或者规则一致，如果一致，则测试通过，如果不一致，则测试不通过。另外，在用Postman工具测试接口鉴权的部分，我们是通过手工获取登录接口返回的token值作为door接口的授权头信息，在实际测试中，token...