Как обеспечивал session

Как обеспечивал управление сессиями (session management)

При обеспечении управления сессиями в тестировании веб-приложений я использовал комплексный подход, сочетающий ручные проверки, автоматизацию и анализ безопасности. Сессия (session) — это механизм сохранения состояния пользователя между HTTP-запросами, так как HTTP — протокол без состояния. Вот ключевые аспекты моей работы.

Основные методы обеспечения сессий в тестировании

1. Работа с Cookies для отслеживания сессии

Чаще всего сессия реализуется через session cookie (например, JSESSIONID, PHPSESSID). В тестировании я:

• Проверял установку, передачу и валидацию cookie.
• Контролировал их атрибуты: HttpOnly, Secure, SameSite, Domain, Path и срок жизни (Expires/Max-Age).
• Моделировал искаженные сессии: отправка пустого, измененного или просроченного идентификатора сессии.

Пример автоматизированной проверки атрибутов cookie с помощью Selenium WebDriver и Python:

from selenium import webdriver

driver = webdriver.Chrome()
driver.get("https://example.com/login")
# Выполняем логин
driver.find_element_by_id("username").send_keys("test_user")
driver.find_element_by_id("password").send_keys("password123")
driver.find_element_by_id("submit").click()

# Получаем все cookies
cookies = driver.get_cookies()
for cookie in cookies:
    if 'session' in cookie['name'].lower():
        print(f"Найдена сессионная кука: {cookie['name']}")
        print(f"Значение: {cookie['value']}")
        print(f"Атрибут Secure: {cookie.get('secure', 'NOT SET')}")
        print(f"Атрибут HttpOnly: {cookie.get('httpOnly', 'NOT SET')}")
        print(f"Атрибут SameSite: {cookie.get('sameSite', 'NOT SET')}")
        # Проверяем критичные для безопасности атрибуты
        assert cookie.get('secure', False) == True, "Cookie должна иметь атрибут Secure!"
        assert cookie.get('httpOnly', False) == True, "Cookie должна иметь атрибут HttpOnly!"
        print("Базовые проверки безопасности пройдены.\n")

driver.quit()

2. Использование инструментов для инспекции и манипуляции

• Браузерные DevTools (Network, Application/Storage): для мониторинга заголовков Set-Cookie и Cookie.
• Прокси-инструменты (Burp Suite, OWASP ZAP, Charles Proxy): для перехвата, анализа и модификации запросов/ответов, включая идентификаторы сессий. Я настраивал интерсепт (перехват) и использовал Repeater для многократной отправки одного запроса с разными session ID.
• Расширения браузера: для редактирования cookie "на лету".

3. Тестирование поведения сессии (функциональное и нефункциональное)

• Истечение сессии по таймауту: проверка корректного завершения сессии после периода бездействия и требования повторной аутентификации.
• Параллельные сессии: возможность входа с одного аккаунта с разных устройств/браузеров (согласно бизнес-требованиям).
• Выход (Logout): гарантия того, что после выхода session token инвалидируется на стороне сервера и удаляется на клиенте.
• Влияние на производительность: при нагрузочном тестировании (например, с JMeter) отслеживалось, как сервер управляет тысячью одновременных сессий.

4. Автоматизация сценариев работы с сессией

Я создавал автоматизированные сценарии, которые:

• Логинились, сохраняли session ID.
• Использовали этот ID для доступа к защищенным эндпоинтам через API-тесты (например, с помощью библиотек requests в Python или RestAssured в Java).
• Тестировали негативные сценарии (использование инвалидного ID).

Пример API-теста с использованием сессии на Python:

import requests

# Базовый URL
BASE_URL = "https://api.example.com"

# 1. Создание сессии (логин)
session = requests.Session()
login_data = {"username": "test", "password": "test"}
login_response = session.post(f"{BASE_URL}/login", json=login_data)
assert login_response.status_code == 200
print("Сессия создана. Куки сессии:", session.cookies.get_dict())

# 2. Доступ к защищенному ресурсу с использованием активной сессии
profile_response = session.get(f"{BASE_URL}/profile")
assert profile_response.status_code == 200
print("Доступ к профилю с активной сессией успешен.")

# 3. Тест инвалидации сессии (логаут)
logout_response = session.post(f"{BASE_URL}/logout")
assert logout_response.status_code == 200
print("Логаут выполнен.")

# 4. Попытка доступа с инвалидированной сессией
retry_response = session.get(f"{BASE_URL}/profile")
assert retry_response.status_code in [401, 403], f"Ожидалась ошибка доступа, но получен {retry_response.status_code}"
print("Доступ с инвалидированной сессией корректно запрещен.")

5. Тестирование безопасности сессий

Это критичная часть, которая включала проверку на уязвимости:

• Предсказуемость Session ID: анализировалась энтропия идентификатора.
• Фиксация сессии (Session Fixation): проверялось, изменяется ли ID после логина.
• Передача по незащищенному каналу: убеждался, что Set-Cookie передается только по HTTPS.
• Межсайтовый скриптинг (XSS): проверка, что атрибут HttpOnly установлен, чтобы защитить cookie от кражи через XSS.

Выводы и лучшие практики

Обеспечение работы с сессиями в тестировании — это не просто проверка "логин-логаут". Это сквозная проверка безопасности, надежности и корректности механизма поддержания состояния пользователя. Я всегда фокусировался на:

• Понимании бизнес-логики управления сессиями (одиночные/множественные сессии, таймауты).
• Комбинации инструментов (прокси, браузер, скрипты) для всестороннего покрытия.
• Автоматизации рутинных проверок (атрибуты cookie, базовые сценарии), чтобы высвободить время для углубленного тестирования безопасности и исследования сложных сценариев.
• Четкой документации найденных дефектов: как воспроизвести, какой ожидается результат, почему текущее поведение опасно или ошибочно.

Такой подход позволяет существенно повысить качество и безопасность любого веб-приложения.