安全测试贯穿整个生命周期
“安全是每一个人的问题”！互联网安全漏洞频繁爆发，安全问题已经成为每个产品迫切需要关注和解决的问题，安全测试将需要贯穿于软件开发的整个生命周期。同时，给软件测试人员带来了更多的机遇和挑战，要求具备更多的安全相关知识（其中还包括更多的计算机基础知识），掌握已有的安全测试相关技术，从而在软件开发的各个阶段做好安全相关的分析和测试工作。尽管有些团队已经将安全跟整个开发实践结合起来，但培养每个人在每个阶段的安全意识还相当的重要，探索新的安全测试技术、方法还有很多空间。
技术雷达上列出的安全测试相关的技术和工具有：Bug bounties、威胁建模（Threat Modelling）、ZAP和Sleepy Puppy。
Bug bounties是一个安全漏洞举报奖励制度，越来越多的组织开始通过Bug bounties鼓励记录常见的安全相关的Bugs，帮助提高软件质量。
威胁建模（Thread modeling）是一组技术，主要从防御的角度出发，帮助理解和识别潜在的威胁。当把用户故事变为“邪恶用户故事”时，这样的做法可给予团队一个可控且高效的方法使他们的系统更加安全。
ZED Attack Proxy (ZAP)是一个OWASP的项目，允许你以自动化的方式探测已有站点的安全漏洞。可以用来做定期的安全测试，或者集成到CD的Pipleline中提供一个持续的常规安全漏洞检测。使用ZAP这样的工具并不能替换掉对安全的仔细思考或者其他的系统测试，但是作为一个保证我们的系统更安全的工具，还是很值得添加到你的工具集里。
Sleepy Puppy是Netflix公司近期开源的一款盲打XSS收集框架。当攻击者试图入侵第二层系统时，这个框架可用于测试目标程序的XSS漏洞。XSS是OWASP的Top10的安全威胁，Sleepy Puppy可以用来同时为几个应用完成自动安全扫描。它可以自定义盲打方式，简化了捕获、管理和跟踪XSS漏洞的过程。Sleepy Puppy还提供了API供ZAP之类的漏洞扫描工具集成，从而支持自动化安全扫描。
优化业务价值
大多数软件都是做项目的模式，在不同的档期内进行计划、实现和交付。敏捷开发极大的挑战了这种模式，通过在开发过程中各个阶段进行的分析和测试工作，持续的发现新的需求，使得需求更趋于合理化，更能体现业务价值。精益创业的技术，如观察需求的A/B测试，进一步削弱了这种心态。技术雷达推荐“产品优于项目（Product over project）”，认为大多数的软件开发工作应该遵循精益企业的引领，将自己定义为构建支持业务流程的产品。这样的产品并没有所谓的最终交付，更多的是一个探索如何更好的支持和优化业务流程的过程，只要业务依然有价值就会不断持续下去。
作为软件开发中的关键角色、负责软件测试的QA人员，通过从用户角度对软件的测试，结合自身对软件产品的了解，对优化业务价值将会起到举足轻重的作用。软件测试不仅是检验软件是否满足规定的需求或弄清预期结果与实际结果之间的差别的过程，还需要有意识的对需求进行持续的验证和优化，对业务的趋势和风险进行分析。如果能在开发过程中结合使用BDD（行为驱动开发）的思想，统一团队对需求的认识，利用团队的力量来优化业务将会达到事半功倍的效果。
传统方式下，QA角色主要专注于保证软件产品在类产品环境下的质量。随着持续交付的出现，QA角色逐渐转变到需要分析软件产品在产品环境下的质量。产品环境下的QA（QA in production），就是要求QA角色在做好产品上线前的质量保证工作前提下，做好软件产品在产品环境下的质量分析。具体做法有：
（一）引入产品系统的监控， 制定检测条件，找出产品环境下使用的质量度量。比如，利用网站分析工具收集用户使用应用程序的数据，分析数据量需求、产品的性能趋势、用户的地域特征、用户的行为习惯和产品在同类型产品市场的占有率等。
（二）收集产品环境下最终用户的反馈，对反馈进行分类分析。这些反馈可能有：
缺陷：需要进行优先级划分，确定是否需要修复；并且对这些缺陷进行根源分析，在以后的开发过程中尽量避免同类型的缺陷再次出现。
抱怨：对于抱怨需要分析其背后的原因，可能正是能够帮助我们改进和优化业务价值的好机会。
建议：一般用户可能难以提出高质量的建议，需要我们在收集反馈的时候下点功夫，有针对性的去收集。一旦收集到了建议，将是对业务价值优化非常有利的。
通过对产品环境下的软件质量进行分析，将有利于协助“产品优于项目”实践，帮助优化业务价值，做好企业产品的创新工作。需要注意的是，产品环境下的QA可能会导致有些组织走的太远而忽视产品上线前的质量保证，它只对那些已经执行并有一定程度持续交付实践的组织有价值。
总结
软件测试是一项技术工作，但软件测试领域的问题不仅仅是技术问题。随着自动化程度越来越高，不断有人怀疑QA存在的必要性，从前面的分析可以看到，新趋势给QA提出了更高的要求，带来了更多的机遇和挑战，相信好的QA是不可能简单的被取代的。
