Относится ли проверка безопасности к функциональному тестированию

Проверка безопасности и функциональное тестирование: анализ взаимосвязи

Проверка безопасности (Security Testing) и функциональное тестирование (Functional Testing) — это два различных типа тестирования с пересекающимися, но не совпадающими целями. Они относятся к разным категориям в классификации тестов, однако между ними существует важная связь, которую часто обсуждают в контексте обязанностей QA Engineer.

Основные различия между функциональным и безопасностным тестированием

Функциональное тестирование проверяет, соответствует ли система своим функциональным требованиям и спецификациям. Его цель — убедиться, что система выполняет предназначенные ей функции правильно. Примеры проверок:

• Регистрация пользователя работает согласно бизнес-логике.
• Расчет суммы в корзине магазина производится корректно.
• Форма отправки данных сохраняет информацию в базе данных.

# Пример теста для функциональной проверки логина
def test_login_functionality():
    user = User(username="test_user", password="correct_password")
    result = login_service.authenticate(user)
    assert result.is_success == True
    assert result.session_token is not None

Тестирование безопасности фокусируется на выявлении уязвимостей и защите системы от угроз. Его цель — обеспечить, что данные и функциональность системы недоступны для несанкционированного использования. Примеры проверок:

• Проверка на отсутствие уязвимости SQL Injection в формах ввода.
• Тестирование авторизации и аутентификации на попытки обхода.
• Анализ межсайтовой scripting (XSS) в веб-приложениях.

# Пример теста для проверки безопасности (SQL Injection)
def test_sql_injection_prevention():
    malicious_input = "test_user'; DROP TABLE users; --"
    result = login_service.authenticate_with_raw_input(malicious_input)
    # Ожидаем, что система не выполнит инъекцию и вернет ошибку
    assert result.is_success == False
    assert "invalid input" in result.error_message

Отношение безопасности к функциональному тестированию

Строго говоря, проверка безопасности не является частью классического функционального тестирования. Они разделены по целям:

• Функциональное тестирование: "Система делает то, что должна?"
• Тестирование безопасности: "Система защищена от того, что не должна допускать?"

Однако в современной практике QA эти области часто пересекаются и интегрируются. Например:

• Функциональность безопасности: Некоторые функции системы специально предназначены для обеспечения безопасности (например, двухфакторная аутентификация, блокировка учетной записи после нескольких неудачных попыток ввода пароля). Проверка таких функций — это одновременно функциональное и безопасностное тестирование.
• Безопасность как аспект функциональности: Если функциональность работает, но нарушает безопасность (например, функция поиска раскрывает конфиденциальные данные), то такая функциональность считается некорректной. Таким образом, безопасность становится критерием качества для функциональности.

Почему важно учитывать безопасность в рамках QA

В обязанности QA Engineer часто входит не только проверка соответствия спецификации, но и оценка общего качества продукта, включая безопасность. Причины:

1. Раннее обнаружение уязвимостей: QA, тестируя функциональность, может случайно обнаружить проблемы безопасности (например, при тестировании граничных значений ввода).
2. Экономия ресурсов: Внедрение базовых проверок безопасности в функциональные тесты помогает выявить проблемы на ранних стадиях, избегая дорогостоящего выделенного аудит безопасности позже.
3. Комплексное понимание системы: QA, понимающий основы безопасности, лучше тестирует систему в условиях, близких к реальным.

Практический подход в современном QA

В современных процессах разработки (например, DevSecOps) безопасность интегрируется на всех этапах, включая тестирование. Поэтому QA Engineer должен:

• Включать базовые проверки безопасности в свои функциональные тестовые сценарии (например, проверять, что пароль не отображается в ответах API).
• Координировать с специалистами по безопасности для глубокого тестирования уязвимостей.
• Использовать инструменты автоматизации, которые покрывают обе области (например, Selenium для функциональности и ZAP для безопасности).

Вывод

Проверка безопасности не относится к чистому функциональному тестированию в классическом определении, но является его неотъемлемым аспектом в современной практике. Качество функциональности сегодня включает в себя и ее безопасность. Поэтому грамотный QA Engineer должен обладать знаниями в обеих областях и применять их в своей работе для обеспечения надежности и защищенности продукта.