网站测试论文

上个月帮朋友查一个电商站点的网站支付流程，点完“确认订单”后页面直接卡死。测试控制台报了个500错误，论文但前端没有任何提示。网站用户只会觉得“这网站坏了”，测试然后关掉走人。论文这就是网站网站测试要解决的事——不是找茬，是测试替真实用户踩坑。

很多人觉得测试就是论文点点按钮看能不能用。差得远。网站我习惯把测试拆成四层来想：功能、测试性能、论文兼容、网站安全。测试每层的论文关注点完全不同，用的工具也不一样。

功能测试：别只走“happy path”

正常流程谁都会测。登录、下单、支付、退出，一条龙走完没问题，但这只覆盖了不到一半的场景。真正容易出bug的地方在边界和异常分支。

举个例子。某次我测一个注册表单，用户名要求4到16个字符。正常输入“testuser”没问题。输入3个字符？提示错误。输入17个？也提示。但输入4个中文字符呢？前端按字符数算通过了，后端按字节数算直接截断，存进数据库变成了乱码。这种问题只有同时测前后端校验逻辑才能发现。

还有个经典案例：某后台系统的删除按钮，正常点击会弹确认框。但如果你用键盘Tab键选中按钮再按回车，确认框不弹，数据直接删了。鼠标事件和键盘事件绑定的不是同一套逻辑。测的时候光用鼠标点，永远发现不了。

“网站有点慢”这种反馈没有意义。慢是慢多少？首页加载3秒和8秒，用户体验天差地别。我一般用Lighthouse跑一遍，看FCP（首次内容绘制）和TTI（可交互时间）。超过2.5秒的FCP就得查原因了。

之前优化过一个企业官网，首页图片没做懒加载，十几张高清图同时请求。用Chrome DevTools的Network面板一看，瀑布图排了整整两屏。加了loading="lazy"之后，首屏时间从6.2秒降到1.8秒。改动就一行属性。

压力测试另说。用JMeter模拟200个并发用户请求登录接口，看响应时间和错误率。有次测出来错误率30%，查日志发现数据库连接池最大才50，直接被打满。这种问题不上压力根本暴露不出来。

Chrome上好好的页面，到了Safari可能布局全乱。特别是用了新的CSS属性，比如gap在flex布局里的支持，Safari 14.1之前根本不认。还有日期输入框，Chrome弹日历，Firefox显示纯文本框，样式和交互完全不同。

移动端更麻烦。同一个Android版本，不同厂商的WebView内核可能不一样。我遇到过华为某机型上，position: sticky完全失效。查了半天，是系统WebView版本太老。最后只能用JS监听滚动来模拟吸顶效果。

SQL注入、XSS、CSRF这些老生常谈，但每年OWASP Top 10里它们还在。我习惯用Burp Suite拦请求，手动改参数试。比如把查询参数改成1' OR '1'='1，看返回什么。如果直接报数据库错误，说明没做参数化查询，问题就大了。

还有个容易忽略的：越权访问。用户A登录后，把URL里的订单ID改成用户B的，如果能直接看到别人的订单，这就是水平越权。测试方法很简单——用两个账号交叉访问对方的资源ID。很多系统只在前端隐藏了入口，后端根本没校验。

测试这活儿，工具只是辅助。核心是脑子里始终装着“用户会怎么乱来”这根弦。正常人不会按你设计的路径走，他们会在输入框里贴表情符号，会在提交时狂点按钮，会在网络卡顿的时候反复刷新。把这些场景都想到、测到，网站才算真正能上线。