软件测试自动登录、浏览记录方向原理——基于Cookie和Session的区别和应用场景

软件测试中，我们经常会测试到的场景有自动登录功能、保存和清空浏览记录功能等，这些功能和我们经常提到的cookie和session紧密相关，针对这些场景的实现原理和测试点这边整理借鉴一些资料做一个简单的总结记录

先来看看在java Web工程中，cookie和session的在不同场景的开发实现原理

Cookie

饼干. 其实是一份小数据， 是服务器给客户端，并且存储在客户端上的一份小数据

应用场景

自动登录、浏览记录、购物车。

为什么要有这个Cookie

http的请求是无状态。 客户端与服务器在通讯的时候，是无状态的，其实就是客户端在第二次来访的时候，服务器根本就不知道这个客户端以前有没有来访问过。 为了更好的用户体验，更好的交互 [自动登录]，其实从公司层面讲，就是为了更好的收集用户习惯[大数据]

Cookie怎么用

简单使用：

• 添加Cookie给客户端

  1. 在响应的时候，添加cookie

      Cookie cookie = new Cookie("aa", "bb");
      
      
      //给响应，添加一个cookie
      response.addCookie(cookie);
     

  2. 客户端收到的信息里面，响应头中多了一个字段 Set-Cookie

  3. 

• 获取客户端带过来的Cookie

    //获取客户端带过来的cookie
    Cookie[] cookies = request.getCookies();
    if(cookies != null){
    	for (Cookie c : cookies) {
    		String cookieName = c.getName();
    		String cookieValue = c.getValue();
    		System.out.println(cookieName + " = "+ cookieValue);
    	}
    }
  

• 常用方法

    //关闭浏览器后，cookie就没有了。 ---> 针对没有设置cookie的有效期。
    //	expiry： 有效 以秒计算。
    //正值 ： 表示 在这个数字过后，cookie将会失效。
    //负值： 关闭浏览器，那么cookie就失效， 默认值是 -1
    cookie.setMaxAge(60 * 60 * 24 * 7);
    
    //赋值新的值
    //cookie.setValue(newValue);
    
    //用于指定只有请求了指定的域名，才会带上该cookie
    cookie.setDomain(".softtest.com");
    
    //只有访问该域名下的cookieDemo的这个路径地址才会带cookie
    cookie.setPath("/CookieDemo");
  

例子一 显示最近访问的时间。

1. 判断账号是否正确

2. 如果正确，则获取cookie。 但是得到的cookie是一个数组， 我们要从数组里面找到我们想要的对象。

3. 如果找到的对象为空，表明是第一次登录。那么要添加cookie

4. 如果找到的对象不为空， 表明不是第一次登录。

    if("admin".equals(userName) && "123".equals(password)){
    	//获取cookie last-name --- >
    	Cookie [] cookies = request.getCookies();
    	
    	//从数组里面找出我们想要的cookie
    	Cookie cookie = CookieUtil.findCookie(cookies, "last");
    	
    	//是第一次登录，没有cookie
    	if(cookie == null){
    		
    		Cookie c = new Cookie("last", System.currentTimeMillis()+"");
    		c.setMaxAge(60*60); //一个小时
    		response.addCookie(c);
    		
    		response.getWriter().write("欢迎您, "+userName);
    		
    	}else{
    		//1. 去以前的cookie第二次登录，有cookie
    		long lastVisitTime = Long.parseLong(cookie.getValue());
    		
    		//2. 输出到界面，
    		response.getWriter().write("欢迎您, "+userName +",上次来访时间是："+new Date(lastVisitTime));
    		
    		
    		//3. 重置登录的时间
    		cookie.setValue(System.currentTimeMillis()+"");
    		response.addCookie(cookie);
    	}
    }else{
    	response.getWriter().write("登陆失败 ");
    }
   

例子二： 显示商品浏览记录。

分析

Jsp 里面使用Java代码

• jsp

Java Server Pager —> 最终会翻译成一个类， 就是一个Servlet

• 定义全局变量

  <%! int a = 99; %>

• 定义局部变量

  <% int b = 999; %>

• 在jsp页面上，显示 a 和 b的值，

  <%=a %>
  <%=b %>

jsp显示浏览记录

清除浏览记录

其实就是清除Cookie， 删除cookie是没有什么delete方法的。只有设置maxAge 为0 。

	Cookie cookie = new Cookie("history","");
	cookie.setMaxAge(0); //设置立即删除
	cookie.setPath("/CookieDemo02");
	response.addCookie(cookie);

Cookie总结

1. 服务器给客户端发送过来的一小份数据，并且存放在客户端上。

2. 获取cookie， 添加cookie

   request.getCookie();

   response.addCookie();

3. Cookie分类

   会话Cookie
   默认情况下，关闭了浏览器，那么cookie就会消失。

   持久Cookie

    在一定时间内，都有效，并且会保存在客户端上。 
   
    cookie.setMaxAge(0); //设置立即删除
   
    cookie.setMaxAge(100); //100 秒
   

测试点提取参考

1、打开WEB系统后，在浏览器默认存储cookies的目录下看此cookies目录是否存在
	win10的默认路径：C:\Users\{你的帐号名}\AppData\Local\Microsoft\Windows\INetCookies 
				   C:\Users\{你的帐号名}\AppData\Local\Microsoft\Windows\INetCookies\Low 
2、禁止使用Cookie
    设置浏览器禁止使用Cookie，访问网页后，是否会导致web系统无法正常运行，无法进行匿名访问；
    
3、若是回话cookie，验证cookie是否失效，在关闭浏览器之后再重新登录是否还有上次操作的痕迹，cookie文件是否删除；

4、持久cookie
     cookie未过期时，关闭浏览器退出后重新登录时是否保留上次操作的痕迹；
     cookie未过期时，刷新页面或者进行其他操作后，再次登录，检查cookie是否更新及更新的正确性。
     关闭浏览器待cookie过期后再次登录，是否还保留上次操作的痕迹；

5、任意篡改Cookie的内容，检查系统是否可以正常登录或出现异常、数据错乱等。

6、通过浏览器删除cookie后访问网页，是否还会保留上一次的操作痕迹；

7、利用cookie来记录登录次数或登录时间时，记录结果是否正确；

4. Cookie的安全问题。

由于Cookie会保存在客户端上，所以有安全隐患问题。 还有一个问题， Cookie的大小与个数有限制。 为了解决这个问题 —> Session .

Session

会话 ， Session是基于Cookie的一种会话机制。 Cookie是服务器返回一小份数据给客户端，并且存放在客户端上。 Session是，数据存放在服务器端。

• 常用API

    //得到会话ID
    String id = session.getId();
    
    //存值
    session.setAttribute(name, value);
    
    //取值
    session.getAttribute(name);
    
    //移除值
    session.removeAttribute(name);
  

• Session何时创建 ， 何时销毁?

• 创建

如果有在servlet里面调用了 request.getSession()

• 销毁

session 是存放在服务器的内存中的一份数据。 当然可以持久化. Redis . 即使关了浏览器，session也不会销毁。

1. 关闭服务器

2. session会话时间过期。 有效期过了，默认有效期： 30分钟。

例子三： 简单购物车。

CartServlet 代码

	response.setContentType("text/html;charset=utf-8");
		
		//1. 获取要添加到购物车的商品id
		int id = Integer.parseInt(request.getParameter("id")); // 0 - 1- 2 -3 -4 
		String [] names = {"Iphone7","小米6","三星Note8","魅族7" , "华为9"};
		//取到id对应的商品名称
		String name = names[id];
		
		//2. 获取购物车存放东西的session  Map  iphoen7 3
		//把一个map对象存放到session里面去，并且保证只存一次。 
		Map map = (Map) request.getSession().getAttribute("cart");
		//session里面没有存放过任何东西。
		if(map == null){
			map = new LinkedHashMap();
			request.getSession().setAttribute("cart", map);
		}
		
		
		//3. 判断购物车里面有没有该商品
		if(map.containsKey(name)){
			//在原来的值基础上  + 1 
			map.put(name, map.get(name) + 1 );
		}else{
			//没有购买过该商品，当前数量为1 。
			map.put(name, 1);
		}
		
		//4. 输出界面。（跳转）
		response.getWriter().write("
继续购物
");
		response.getWriter().write("
去购物车结算");

移除Session中的元素

	//强制干掉会话，里面存放的任何数据就都没有了。
	session.invalidate();
	
	//从session中移除某一个数据
	//session.removeAttribute("cart");

部分测试点提取参考

• 功能

    直接在浏览器地址栏访问需要登录后才能访问的页面，是否可以访问成功；
    session未超时时，关闭浏览器后再次登录，是否保留了之前的操作痕迹；
    登录页面后，等待session超时后操作页面，是否任然可以正常访问；
    退出登录，再通过浏览器返回功能返回至登录前操作页面，是否可以返回或依然跳转至登录界面；
  
    这里再举一个本人在测试中遇到的一个典型的信息互窜案例：
    操作：
    同时打开两个页面并在两个tab中都登录A用户，这时连个tab页中也就都保存的是A的session；此时在一个tab页面退出
    其中一个A用户，登录B用户（session未失效）；现在session做了覆盖，也就是两个页面中的session值都是B的session。
    这时在B用户这里执行操作；
    现象：
    B的数据信息在A的用户下也可以被查看，用户的数据信息发生的互窜
  

• 性能

   如果用户频繁的访问包含分类信息的页面，每次都要去DB中获取分类信息，影响性能
   所以首页分类信息不要放入session中，否则并发量大的时候，占用内存大，影响性能
  

总结：

• Cookie

  服务器给客户端发送一小份数据， 存放在客户端上。

  基本用法：

    添加cookie
  
    获取cookie。
  

  演练例子：

    1. 获取上一次访问时间
  
    2. 获取商品浏览记录。
  

• 什么时候有cookie

  response.addCookie(new Cookie())

• Cookie 分类

    会话Cookie
  
    	关闭浏览器，就失效
  
    持久cookie
  
    	存放在客户端上。 在指定的期限内有效。 
  
    	setMaxAge();
  

• Session

    也是基于cookie的一种会话技术，  数据存放存放在服务器端
  
    会在cookie里面添加一个字段 JSESSIONID . 是tomcat服务器生成。 
  
    setAttribute 存数据
  
    getAttribute 取数据
  
    removeAttribute  移除数据
  
    getSessionId();  获取会话id
  
    invalidate() 强制让会话失效。
  

• 创建和销毁

  ，调用request.getSesion创建

  服务器关闭 ， 会话超时（30分）

setAttribute 存放的值， 在浏览器关闭后，还有没有。 有！，就算客户端把电脑砸了也还有。