22、网页应用的变异测试：保障性能与安全

网页应用的变异测试：保障性能与安全

1. 网页应用面临的安全与性能挑战

在网页应用开发过程中，存在诸多影响其安全和性能的问题。许多开发者在用户登录时，未建立正确的用户上下文就给予认证访问权限。例如，借助浏览器内置工具，任何登录系统的用户都能轻易访问应用内部，而无需考虑是否为应用的注册用户。恶意用户还可利用特制字符串绕过认证流程登录网页应用。

SQL 注入攻击是针对存在潜在漏洞数据库的主要攻击方式。BAR 和 AAR 是专门用于检查是否为合法用户提供了适当认证的变异操作符。若用户的变异代码绕过登录流程，给予恶意用户未认证访问权限，就可能导致数据库被不道德用户访问，进而危及安全和隐私，影响用户留存率。

若查询是简单的客户端脚本，它会访问数据库中存储的内部表。若输入数据未经过滤就被放入内部数据库查询，网站就极易受到攻击。

跨站脚本攻击允许恶意用户利用搜索框、评论区或留言簿在网页上运行脚本，窃取其他用户的数据。可能出现的恶意行为包括窃取 cookie、钓鱼（重定向到相似页面）、通过在框架中放置链接提高页面排名、传播蠕虫等。

2. 变异测试工具

为实现变异测试自动化，已经开发了许多工具，如 PIT、Cosmic Ray、Jumble、Selenium、Ruby on Rails、Mutpy、EATOOS、MUTWEB、reAjax、Veriweb、WEBVIZOR、WATIR 等。

• PIT ：由 Coles 创建的开源工具，具有四个独特阶段，即变异生成、测试选择、嵌入变异和在设备执行中解析变异。它采用基于条件的操作符，如移除、操作条件，并能提供测试套件的覆