位元組軟體測驗崗二面：APP測驗問題被虐哭了，直到看到這些知識點

APP測驗一直是大廠軟體測驗問到的一個重點細節，下面我來給大家展示一下大廠關于APP測驗經常會問到的一些問題，以及決議，想象一下當你遇到面試官問到你這些問題時，你是否也能夠對答如流哦！

注意，注意啦！小編花了幾天時間總結出了web 測驗，介面測驗，App 測驗，管理工具，等等核心知識點，需要的朋友可以在公眾號：【傷心的辣條】獲取軟體測驗學習核心知識點，無償喔！

APP測驗面試真題及決議：

• 手機app兼容性測驗：主要是針對android各個系統版本進行測驗，及測驗螢屏解析度進行測驗；

• 說說會用哪些抓包工具？怎么用的？

• 決議：比如fiddler，主要用來做app抓包使用，先在fiddler客戶端做好各項配置，埠設定為8888，然后在手機上設定代理，就可以抓包了，主要看的是服務器回傳的值、還能夠修改傳入引數、傳出的引數、模擬網路延時，去構造不同場景，

• 什么是alpha測驗和beta測驗？

• 決議：alpha測驗：在公司場地，由員工主導的測驗行為；beta測驗：在客戶場地，由客戶主導進行的測驗，

• 簡單介紹一下Android SDK中自帶的幾個工具/命令的功能？

• 決議：ddms：Dalvik Debug Monitor Service，是 Android 開發環境中的Dalvik[虛擬機]除錯監控服務，

• monkey：Android中的一個命令列工具，可以運行在模擬器里或實際設備中，它向系統發送偽隨機的用戶事件流(如按鍵輸入、觸摸屏輸入、手勢輸入等)，實作對正在開發的應用程式進行壓力測驗，

• uiautomator：UIAutomator是Eclipse自帶的用于UI自動化測驗工具，可仿真APP上的單擊、滑動、輸入文本等操作，

• monitor：同uiautomator

• adb：ADB的全稱為Android Debug Bridge，就是起到除錯橋的作用，通過ADB我們可以在Eclipse中方面通過DDMS來除錯Android程式，就是debug工具，

二，以京東首頁為例 ，設計用例框架 ， （注意框架設計邏輯，區域劃分 ，專看項測驗等，不需要詳細用例，需要查看 PC 可直接和辨識管提要求）

三，如何測驗購買下單和退貨流程

產品經理設計了單品優惠，組合優惠，訂單優惠，優惠券優惠（優惠券優惠包含通用券，定向券，滿減券，折扣券）和禮品卡，其中禮品卡上需要單獨購買的，請問如何測驗購買下單和退貨流程，需要注意什么？（包含資料存盤）

四，什么是 sql 注入，什么是XSS跨站腳本攻擊，什么是跨站請求偽造？

1、SQL注入

原理:SQL注入就是通過把SQL命令插入到Web表單遞交或輸入域名或頁面請求的查詢字串，最終達到欺騙服務器執行惡意的SQL命令，SQL注入漏洞到底是以怎樣的形式進行攻擊的呢，接下來將以一個簡單的實體來進行介紹，

比如在一個登陸界面，有兩個文本框分別用來輸入用戶名和密碼，當用戶點了登錄按鈕的時候，會對輸入的用戶名和密碼進行驗證，

2、XSS跨站腳本攻擊

原理：XSS(Cross Site Scripting)跨站腳本攻擊指攻擊者在網頁中嵌入客戶端腳本(例如JavaScript)，當用戶瀏覽此網頁時，腳本就會在用戶的瀏覽器上執行，從而達到攻擊者的目的，比如獲取用戶的Cookie，導航到惡意網站，攜帶木馬等，

向網頁中注入惡意腳本在用戶瀏覽網頁時在用戶瀏覽器中執行惡意腳本的攻擊方式，跨站腳本攻擊分有兩種形式：反射型攻擊（誘使用戶點擊一個嵌入惡意腳本的鏈接以達到攻擊的目標，目前有很多攻擊者利用論壇、微博發布含有惡意腳本的 URL 就屬于這種方式）持久型攻擊（將惡意腳本提交到被攻擊網站的資料庫中，用戶瀏覽網頁時，惡意腳本從資料庫中被加載到頁面執行，QQ 郵箱的早期版本就曾經被利用作為持久型跨站腳本攻擊的平臺），

3、跨站點請求偽造

原理：CSRF（ Cross-site request forgery ）盡管聽起來很像XSS跨站腳本攻擊，但是它于XSS完全不同，XSS是利用站點內的信任用戶，而CSRF則是通過偽裝來自受信任用戶的請求來利用受信任的站點，從而在并未授權的情況下執行在權限保護之下的操作，與XSS相比，CSRF攻擊不大流行和難以防范，所以比XSS更具危險性，

CSRF 攻擊是攻擊者通過跨站請求，以合法的用戶身份進行非法操作（如轉賬或發帖等），CSRF 的原理是利用瀏覽器的 Cookie 或服務器的 Session，盜取用戶身份，防范 CSRF 的主要手段是識別請求者的身份，

五，給你一個網站怎么開展測驗？

1、首先，查找需求說明、網站設計 m 等相關檔案，分析測驗需求，

2、制定測驗計劃，確定測驗范圍和測驗策略，一般包括以下幾個部分： 功能性測驗；界面測驗；性能測驗；資料庫測驗；安全性測驗；兼容性測驗

3、設計測驗用例： 功能性測驗可以包括，但不限于以下幾個方面：
鏈接測驗，鏈接是否正確跳轉，是否存在空頁面和無效頁面，是否有不正確的出錯資訊回傳等，

4、提交功能的測驗

多媒體元素是否可以正確加載和顯示，

多語言支持是否能夠正確顯示選擇的語言等，

5、界面測驗可以包括但不限于以下幾個方面：

頁面是否風格統一，美觀；頁面布局是否合理，重點內容和熱點內容是否突出；控制元件是否正常使用；對于必須但為安裝的空間，是否提供自動下載并安裝的功能;文字檢查

6、性能測驗一般從以下兩個方面考慮：

壓力測驗；負載測驗；強度測驗

資料庫測驗要具體決定是否需要開展，資料庫一般需要考慮連結性，對資料的存取操作，資料內容的驗證等方面，

7、安全性測驗：

1 基本的登錄功能的檢查 2 是否存在溢位錯誤，導致系統崩潰或者權限泄露 3 相關開發語言的常見安全性問題檢查，例如 SQL 注入等，4 如果需要高級的安全性測驗，確定獲得專業安全公司的幫助，外包測驗，或者獲取支持

8、兼容性測驗

根據需求說明的內容，確定支持的平臺組合：瀏覽器的兼容性；作業系統的兼容性；軟體平臺的兼容性；資料庫的兼容性

9、開展測驗，并記錄缺陷，合理的安排調整測驗進度，提前獲取測驗所需的資源，建立管理體系（例如，需求變更、風險、配置、測驗檔案、缺陷報告、人力資源等內容），定期評審，對測驗進行評估和總結，調整測驗的內容，

六，電商支付模塊的測驗如何展開？

先看下流程圖，是否對流程圖有些了解，不僅僅是做支付功能相關測驗才去搞清楚其中的流程，做其他的測驗一樣也要搞清楚流程，只有搞清楚流程，才能更好的評估其中的風險，才能有利于測驗用例的設計，當然流程圖中只是提到了商戶與第三方是如何互動的，同樣商戶內部處理的流程也要有所了解及資料怎么存盤的，涉及到哪些DB也要清楚，

這個支付流程圖里面就涉及到了第三方支付介面：

下單介面：商戶提交下單請求到第三方支付介面，第三方支付收單成功后回傳下單成功結果給到商戶系統，（下單介面的最終處理結果分為下單成功和下單失敗，若未收到明確結果可呼叫單筆訂單查詢介面查詢結果，）

支付介面：呼叫該介面時指定支付引數，完成買家賬戶向商戶賬戶的支付，采用頁面跳轉互動模式和后臺通知互動模式，（結果分為兩路回傳：一路為前臺在return_url頁面跳轉顯示支付結果；一路為后臺在notify_url收到支付結果通知后進行回應，）

退款介面：呼叫第三方支付的支付請求介面回傳付款成功后，在需要做退款處理時呼叫退款請求介面發起退款處理，（退款介面的最終處理結果分為退款成功和退款失敗，若未收到明確結果可呼叫退款查詢介面查詢結果，）

單筆訂單查詢介面：根據訂單號查詢單筆訂單資訊和狀態，

退款訂單查詢介面：呼叫第三方支付的退款介面回傳后，在需要查詢退款請求狀態可呼叫退款訂單查詢介面查詢退款訂單的狀態和訂單資訊，

測驗程序中需要注意的主要測驗點及例外場景：

首先要保證介面都能正常呼叫；

生成一筆訂單，支付完成后，同步或異步重復回呼，只有一次有效；

生成一筆訂單，復制訂單號和金額，再次生成一筆訂單，用fiddler設定斷點，用第一筆已完成的訂單號和訂單金額去替換現有的訂單號和金額，無法完成支付

生成一筆訂單，跳轉到第三方時修改金額，無法到賬，或者如果是游戲充值游戲幣的話，到賬為篡改后的金額對應的游戲幣

異步通知屏蔽，同步有效，進行支付，同步能夠正常到賬

同步設定無效，異步有效，進行支付，異步能夠正常到賬

同步異步都設定無效，在第三方支付完成后，在重發機制時間范圍內，設定異步有效，到下次通知時間點時，能夠正常通知到賬（補單機制的驗證，如果商戶收到第三方支付成功的通知后，要告知第三方支付收到了成功的通知，如果第三方支付收到商戶應答不是ok或超時，第三方支付就會認為通知失敗，會在規定的時間內持續呼叫notify_url，一般有時間或次數的限制）

針對支付訂單在資料庫中存盤是否完整和正確進行校驗（比如：第三方訂單號–方便與第三方對賬和問題排查、訂單金額、訂單狀態等）

如果是用戶購買實物商品，用戶發起退貨，要保證退貨流程正常，資金能正常返還，要考慮下并發情況的驗證以確保安全性

如果是用戶購買虛擬商品，比如話費、油卡之類的商品，只有在發貨失敗的時候才能發起退貨，注意驗證

遇到過的坑：

用戶購買100元游戲幣時，前往第三方支付跳轉進行金額的篡改由100元改成0.01元，結果就拿了0.01元充值了100元的游戲幣，對訂單金額沒有做校驗導致這樣的后果，損失比較大，大家在測驗的程序中一定要注意對服務端進行校驗，支付時資料的篡改一定要有校驗

當同步、異步通知都存在的情況的，異步通知（第三方支付成功后臺通知），沒有到賬，導致部分用戶充值不到賬，引起客訴，當同步、異步并存的時候，一定要分別對同步和異步進行檢驗，確保都能正常到賬

最后：如果對軟體測驗、介面測驗、自動化測驗、技術同行、持續集成、面試經驗交流，感興趣可以進群 902061117，群內會有不定期的分享測驗資料，

如果文章對你有幫助，麻煩伸出發財小手點個贊，感謝您的支持，你的點贊是我持續更新的動力，

好文推薦

2021軟體測驗工程師面試題匯總（內含答案）-看完BATJ面試官對你豎起大拇指！

什么樣的人適合從事軟體測驗作業？

軟體測驗和軟體開發哪個發展更好

那個準點下班的人，比我先升職了…