2.不登录系统，直接输入下载文件的URL是否可以下载文件；
如输入：http://url/download?name=file是否可以下载文件file
3.退出登录后，退却撤退按钮能否访问之前的页面；
4.ID/密码验证办法中能否利用大略密码；如密码标准为6位以上，字母和数字的组合，不包含ID，连接的字母或数字不能超过n位
5.ID/密码验证办法中，同一个帐号在不同的机器上不同时登录
6.ID/密码验证办法中，连续数次输入缺点密码后该帐户是否被锁定
7.主要信息（如密码，身份证，信用卡号等）在输入或者查询时是否明文显示；在浏览器地址栏中输入命令javascript:alert(doucument.cookie)时是否有主要信息；在html源码中能否看到主要信息；
8.手动变动URL中的参数值能否访问没有权限访问的页面。
如普通用户对应的URL中的参数为l＝e，高等用户对应的URL中的参数为l＝s，以普通用户的身份登录系统后将URL中的参数e改为s来访问没有权限访问的页面
9.URL里不可修正的参数是否可以被修正；
10.上传与做事器端措辞（jsp，asp，php）一样扩展名的文件或exe等可实行文件后，确认在做事器端是否可直接运行
11.注册用户时是否可以以‘–’or1＝1—等做为用户名
12.传送给做事器的参数（如查询关键字，URL中的参数等）中包含分外字符（‘.’and1＝1–.‘and1＝0–.’.‘or 1＝0–）时是否可以正常处理
13. 实行新增操作时，在所有的输入框中输入脚本标签（<script>alert(“”)</script>）后能否保存；
14. 新增或修正主要信息（密码，身份证号码，信用卡号等）时是否有自动完成功能（在form标签中利用autocomplete＝0来关闭自动完成功能）
15.在URL中输入下面的地址是否可以下载
http://url/download.jsp?file=c:\windows\system32\drivers\etc\hosts,http://url/download.jsp?file=/etc/password
16.是否对session的有效期进行处理
17.缺点信息中是否含有SQL语句，SQL缺点信息以及web做事器的绝对路径的等
测试岗位职级系列：
测试岗位序列任职标准
L4测试开拓低级工程师哀求
L5测试开拓工程师哀求
L6 测试开拓高等工程师哀求
L7 测试开拓技能专家哀求
L8 测试开拓高等技能专家
产品经理系列：
1.产品经理：事情哀求
2.产品经理：能力哀求
3.产品经理：角色及拓展哀求
