面试官问web测试，试面试题十个有九个先甩出“get和post区别”。试面试题你要是试面试题只答“get参数在url里，post在body里”，试面试题基本就凉了。试面试题真正该说的试面试题是：get请求能被浏览器缓存，后退无害，试面试题post不会缓存，试面试题后退会弹窗提示重新提交。试面试题再补一句——get URL长度受限是试面试题服务器限制，不是试面试题http规范。面试官眼睛会亮一下。试面试题

另一个高频坑是试面试题cookie和session。我见过候选人背得滚瓜烂熟，试面试题一问“淘宝加购物车用哪个”就卡壳。试面试题实际场景里，购物车数据放session，登录状态靠cookie里的sessionId维持。但分布式部署时session共享怎么办？这才是考点。你答“用redis存session”，顺便提一句“cookie设置httpOnly防XSS”，这题就过了。

说个真实的翻车案例。之前面一个自称三年经验的，让他测一个搜索框。他说“输入关键字，点搜索，看结果对不对”。这回答等于没答。我追问“如果输入特殊字符呢？”他愣住。测试搜索框至少要覆盖：空值、超长字符、SQL注入语句、HTML标签、emoji、前后空格、大小写敏感、拼音输入法联想词。还有搜索结果为空时的提示文案，以及搜索历史记录是否清除。这些细节才是web测试的价值。

接口测试也常被问。别一上来就说postman。面试官想听的是：先看接口文档，确认请求方法、参数类型、必填项、边界值。比如分页接口，page=1&size=10，你要测size=0、size=负数、size=超大值、page不传默认值。还有响应时间，超过3秒用户就跑了。我习惯用Charles断点改响应，模拟超时和500错误，看前端有没有做错误兜底。

兼容性测试别傻乎乎说“装个虚拟机测IE”。现在主流是Chrome、Safari、Firefox、Edge，加上移动端微信内置浏览器。重点测CSS3属性兼容，比如flex布局在旧版Safari会错位。真实项目里，我遇到过input框在Firefox下placeholder颜色偏浅，调了半天是浏览器默认样式差异。

最后说个加分项——安全测试。很多面试者只想到SQL注入，忽略了越权访问。比如你登录普通用户，直接改URL里的userId=1，能不能看到管理员页面？这叫水平越权。还有验证码复用、密码明文传输（看network面板）、文件上传漏洞（传个.php改名.jpg）。这些点一出来，面试官基本认定你是有实战经验的。

其实web测试核心就三块：功能逻辑、异常处理、用户体验。功能逻辑靠业务理解，异常处理靠经验积累，用户体验靠敏感度。别背题，把每个测试点背后“为什么”想清楚。比如测空值，因为数据库字段可能非空；测超长字符，因为数据库字段长度有限。这样面试时你讲的是原理，不是答案。