一、背景介绍 在网上，大家经常可以看到诸如数据库被拖库、用户信息泄露等因为安全漏洞引发的问题，给用户和公司都造成了较大的损失。随着公司业务快速发展、功能增多、用户数目不断增加，安全问题越来越成为一个必须重视的问题。 在实践安全测试的过程中，业务部门和安全部门合作去进行安全测试，早期测试人员和安全同学通过手工执行安全测试用例来发现问题，后续慢慢的也开始使用一些安全工具，通过自动化的方式来提高发现问题的效率。在这过程中，我们关注到了一个跟业务密切相关的安全问题——接口越权问题，并设法通过自动化扫描的方式发现该类问题，提高效率。 越权问题是指应用对访问请求的权限检查存在纰漏，使得攻击者在使用没有获得权限的用户账户后，利用一些方式绕过权限检查，访问或者操作其他用户或者更高权限者的对象。比如商家…
Read More一、背景 上半年公司的网关系统进行了重构，需要把零售业务已有的网关接口迁移到新网关上。这些接口每天都有成千上万次请求，为商家提供各种服务，稍有不慎就容易出现较大故障，所以如何迁移是个比较慎重的问题。 这个迁移项目主要的验证重点是：确保新网关对于接口的请求和返回的处理和老网关一致；而主要的验证难点在于，仅从功能层面进行手工验证很难覆盖各种场景，尤其是如何构造各种请求参数以及检查各种返回的内容。若要人肉进行细致的接口级别的验证，那么花费的时间就会很长、效率很低。 经过统计和梳理，涉及的接口超过了 1000 个，在这个数量级上，总花费的时间成本很高，研发团队难以承受。这不得不让我们停下来思考一下，是否有另一种高效的方式来解决这个问题。…
Read More背景 众所周知，在丰田精益生产中，核心观念包含对人的尊重、消除浪费、持续改善，只有这样，企业才能保持良性运转，竞争力才会提升。而具体的浪费场景，被总结为「制造过剩、等待、搬运、库存、加工、额外动作、次品」七种，后来又增加了「管理」的浪费。 笔者所在效能改进团队，一直致力于精益的实践，从降本增效的角度，…
Read More1. 背景 先理一下自动化测试的概念，从广义上来说，一切通过工具(程序)的方式来代替或者辅助手工测试的行为都可以成为自动化。从狭义上来说，通过编写脚本的方式，模拟手工测试的过程，从而替代人工对系统的功能进行验证。 有赞是一家互联网行业的创业公司，测试起步较晚，发布非常频繁，就算每次只回归核心功能，对人数极少的几个测试人员来说工作量巨大，且基本是重复劳动，极其枯燥，持续时间长了也容易出错。 所以初期我们测试自动化切入的思路非常简单：从实际用户的角度出发，模拟真实的操作，替代现有的手工测试用例的执行。这样一来，每次重复的工作就可以用自动化来替代，…
Read More