刚开始两天，我一直在想工作应该怎么开展呢，越想越头痛，回家也在思考，我应该开始，如何着手，此时接到一个电话有一个测试同仁问我一个LR的问题，正好我碰到过，很快就帮他解决了，心里有点成就感。这时我突然想到我的优势在哪呢，我优势时有多年的测试和测试管理经验，质量管理能不能套用呢。后面我发现能，稍做变化就行，我分三步走。

1.     确定目标

测试时怎么开始？先要订一个测试计划。测试计划制订主要依据是什么？需求和项目标？质量管理怎么开始？要订2010年质量管理计划。质量管理计划制订的依据是什么，公司对质量管理部定位，目标。我马找上级领导沟通了解，我总结了2010部门目标。

1)     通过质量控制、评测对研发项目的进度、质量进行监督、跟踪和度量，保证研发进度，提高产品质量。并及时收集项目进度、质量数据，不断改进、完善公司研发过程。

2)     加强公司产品配置管理，根据公司产品线完善公司产品库，保证公司软件产品的完整性。

2.     分解目标，确定工作职责

测试计划制定以后怎么办？按计划执行了。那质管理目标确定以后怎么办？那就是分解目标，确定工作职责。我们根据目标分解成几项工作职责。

1)     负责公司研发过程持续改进，完善优化现有研发流程。

2)     负责事业部研发项目的质量监控，作为公司产品的评测中心，为提交的产品做充分测试，并出具项目（产品）质量评价分析报告。

3)     负责公司产品配置库管理，以及各事业部存放在公司服务器上的项目配置库的审计工作。

4)     负责对研发项目过程进行质量审计，并收集研发项目过程中的进度与质量数据提交相关领导，如实反应项目进度、质量情况。

5)     指导公司其它部门测试、配置等工作正常开展，整理一套质量管理、测试 、配置相关知识库。

3.     根据工作职责，制订工作流程和规程

测试执行不可能随便来，要根据测试用例、测试流程和规范执行的。质量管理工作职责明确以后，那就是制订经后工作流程和规程了。我们公司详细的工作流程规程就不列了，就放张图吧。

2010年初领导找我谈话，公司质量管理让我来负责，包括质量保证，配置、测试，我想了想是个好机会就答应了，以前我只是负责一个测试团队。

从年初到现在也将近两个月了，今天有一个同学在QQ中问我：老同学最近在忙什么，我随口而出软件质量管理。他又问我什么是软件质量管理，这下把我难住了。

做了两个多月了，还真没有好想想这个问题，我百度了一下，定义真是五花八门。我根据我们公司的情况和现有工作模式总结了一下。

软件质量管理：在满足公司商业目标和质量目标的前提下，根据公司制定的标准过程对公司项目开发过程进行监控以及对项目过程产物进行确认和验证。并通过对过程数据的收集和度量，逐步改进完善公司的标准过程。

JProfiler是一个全功能的Java剖析工具（profiler），专用于分析J2SE和J2EE应用程序。它把CPU线程和内存的剖析组合在一个强大的应用中。JProfiler可提供许多IDE整合和应用服务器整合用途。

JProfiler直觉式的GUI让你可以找到效能瓶颈、抓出内存泄漏(memory leaks)、并解决线程的问题。它让你得以对heap walker作资源回收器的root analysis，可以轻易找出内存泄漏；heap快照（snapshot）模式让未被参照（reference）的对象、稍微被参照的对象、或在终结（finalization）队列的对象都会被移除；整合精灵以便剖析浏览器的Java外挂功能，JProfiler功能很强大，可以监控普通的 java application, applet, java web start, application server 等。除了可以监控本地的程序，还可以对远程服务器上跑的应用进行监控。最新版下载连接http://www.ej-technologies.com/download/jprofiler/files.php。当前使用版本为5.1.4

1      简介

paros proxy，这是一个对Web应用程序的漏洞进行评估的代理程序，即一个基于Java的web代理程序，可以评估Web应用程序的漏洞。它支持动态地编辑/查看 HTTP/HTTPS,从而改变cookies和表单字段等项目。它包括一个Web通信记录程序，Web圈套程序(spider)，hash 计算器，还有一个可以测试常见的Web应用程序攻击(如SQL注入式攻击和跨站脚本攻击)的扫描器。该工具检查漏洞形式包括：SQL注入、跨站点脚本攻击、目录遍历、CRLF -- Carriage-Return Line-Feed 回车换行等。官方网http://www.parosproxy.org/

2      名词解释

l  SQL注入：

所谓SQL注入，就是通过把SQL命令插入到Web表单递交或输入域名或页面请求的查询字符串，最终达到欺骗服务器执行恶意的SQL命令，比如先前的很多影视网站泄露VIP会员密码大多就是通过WEB表单递交查询字符暴出的，这类表单特别容易受到SQL注入式攻击．

例如管理员的账号密码都是admin，那么再比如后台的数据库查询语句是

user=request("user")

passwd=request("passwd")

sql='select admin from adminbate where user='&'''&user&'''&' and passwd='&'''&passwd&'''

那么我使用'or 'a'='a来做用户名密码的话，那么查询就变成了

select admin from adminbate where user=''or 'a'='a' and passwd=''or 'a'='a'

l  跨站点脚本攻击：

又叫CSS (Cross Site Script) 。它指的是恶意攻击者往Web页面里插入恶意html代码，当用户浏览该页之时，嵌入其中Web里面的html代码会被执行，从而达到恶意攻击用户的特殊目的。

l  目录遍历攻击：

是Http所存在的一个安全漏洞，它使得攻击者能够访问受限制的目录，并在Web服务器的根目录以外执行命令。

l  CRLF -- Carriage-Return Line-Feed 回车换行：

是说黑客能够将CRLF命令注入到系统中。它不是系统或服务器软件的漏洞，而是网站应用开发时，有些开发者没有意识到此类攻击存在的可能而造成的。

3      安装

1.      安装JRE

首先确保已安装JRE [Java Run Time Enviroment (JRE) 1.4 (or above) ]。注意：一定要先安装JRE，然后再安装paros proxy，如果先安装paros proxy后安装JRE，paros proxy将无法启动。

如果没有JRE，可以通过以下地址下载并安装：http://java.sun.com/j2se 如果找不到JRE，也可以下载相同版本的JDK，JDK会带有JRE.

2.      安装和配置paros proxy应用程序

下载地址：http://sourceforge.net/projects/paros/，安装：如果下载的是WINDOWS版本，安装比较简单。如果下载的是UNIX或其它平台的版本，则需要手动将程序解压到一个新的目录，并单击.JAR文件运行程序。、

配置：paros需要两个端口：8080和8443,其中8080是代理连接端口，8443是SSL端口，所以必须保证这两个端口并未其它程序所占用。（查看端口命令：打开DOS命令窗口，输入 netstat查看目前使用的端口）。如果在安装完成,启动应用程序时，出现初始化错误，极大的可能就是因为这个端口被其它程序所占用。配置浏览器属性：打开浏览器（如IE），打开工具－选项－连接－LAN设置－选中proxy server，proxyname为：localhost，port为：8080.

4     操作步骤

1.      打开paros proxy,然后在浏览器（IE）中打开被测试网站。

2.      SPIDER：抓取URL。执行第一步后，系统会自动抓取被测试站点位于URL层次树中第一层的URL，并将这些URL显示在左侧的“site”栏中，然后在site栏中选中某一个URL，右击鼠标选取spider命令或单击analyse菜单－spider命令，系统将抓取该URL层次树中下一层次的URL。

【注意事项】：

1)     由于paros不能抓取一些特定的URL路径，比如一些URL链接需要在合法登录后才能被识别出来，因此在进行URL抓取时，一定先要登录网站。

2)     抓取功能不能处理以下情况：

l  具有非法验证的SSL站点的URL是不能被抓取的；

l  不支持多线程；

l  在HTML页中的某些畸形URLS也是不能被识别的；

l  由javascrīpt生成的URLS也是不能被识别的；

l  虽然上述这些URLS不能被自动抓取，但是可以将其手动增加到左侧的“site”栏中，具体的操作方法是：

l  首先要对被测试站点URL的层次树有很好的了解，这样才能知道哪个URL抓取了，哪些还没有被抓取。

l  对于未被抓取的URLS，通过打开paros-工具-manual request editor，输入未被抓取的URLS，然后单击SEND按钮，完成手动加入URLS动作，添加成功后的URLS将显示在左侧的“site”栏中。

3.      SCANNER：针对“site”栏中的URLS进行扫描，逐一检查对URLS分别进行安全性检查，验证是否存在安全漏洞。如果想扫描"site"栏中所有的URLS，单击anaylse-scan all可以启动全部扫描。

4.      如果只想扫描“site”栏中某一URL，选中该URL，右击鼠标，选取scan命令。SCANNER可以对以下几种情况进行检查：

1)     SQL注入

2)     跨站点脚本攻击

3)     目录遍历

4)     CRLF -- Carriage-Return Line-Feed 回车换行等。

5.      查看和验证扫描结果：扫描完成后，单击Report-Last Scan report,可查看当前的扫描报告。根据扫描报告，对扫描结果进行验证，比如扫描结果中有一是URL传递的参数中存在SQL注入漏洞，我们将该URL及参数输入到地址栏中，验证结果。

6.      保存抓取、扫描内容。保存时应注意：保存的路径不支持特殊字符，比如汉字等，否则会打不开保存后的文件。

一．           接收资料完整，如资料不完整，则不予接收

1.         经过代码走查和单元测试的程序源代码。

2.         经过评审的用户需求、软件需求、概要设计、详细设计文档。

3.         用来运行程序和表结构（pdm）和基础数据文件

4.         经过审核的用户手册和安装说明文档。

二．           功能实现

1.         根据安装说明能正确搭建测试环境。

2.         概要设计说明书所描述模块功能均已实现。

3.         各模块中详细设计说明中的功能均已实现。

4.         界面风格一致（包括控件的大小、快捷键的命令名称），美观大方。

5.         各菜单项功能均已实现，各菜单项快捷键可以使用，无错字别字，能望文知意。

6.         根据冒烟测试用例测试，基本流程、正常业务可以走通。

三．           其他

1.         代码审查核心业务代码覆盖率大于80％，其它业务代码覆盖率大于60％。

2.         单元测试核心业务功能覆盖率要求大于95％，其它业务功能覆盖率大于80％。

第一步：下载j tomcat

       到tomcat官方站点（http://jakarta.apache.org/site/downloads/） 下载tomcat）；

第二步：安装和配置tomcat

       安装Tomcat后，在我的电脑-＞属性-＞高级-＞环境变量-＞系统变量中添加以下环境变量，接着可以启动tomcat，在IE中访问http://localhost:8080，如果看到tomcat的欢迎页面的话说明安装成功了。

第三步：建立自己的jsp app目录

1.      到Tomcat的安装目录的webapps目录，可以看到ROOT，examples, tomcat-docs之类Tomcat自带的的目录；

2.      在webapps目录下新建一个目录，起名叫TestApp；

3.      TestApp下新建一个目录WEB-INF，注意，目录名称是区分大小写的；

4.      WEB-INF下新建一个文件web.xml，内容如下：

5. 在TestApp下新建一个测试的jsp页面，文件名为index.jsp，文件内容如下：

6. 重启Tomcat

7. 打开浏览器，输入http://localhost:8080/TestApp/index.jsp看到当前时间的话说明就成功了。

SELECT

MS_CF01.FYRQ,

MS_CF02.YPSL,

MS_CF02.YPDJ

FROM

MS_CF01,

MS_CF02

WHERE

MS_CF01.CFSB=MS_CF02.CFSB