近年來(lái)，隨著互聯(lián)網(wǎng)應(yīng)用服務(wù)的發(fā)展、尤其是電子商務(wù)的勃興，我國(guó)的非金融機(jī)構(gòu)支付服務(wù)產(chǎn)業(yè)進(jìn)入了爆炸式增長(zhǎng)時(shí)期。目前，非金融機(jī)構(gòu)支付服務(wù)企業(yè)的年交易總額已突破萬(wàn)億元，在人民銀行備案的非金融機(jī)構(gòu)支付服務(wù)企業(yè)數(shù)量已達(dá)260多家。非金融機(jī)構(gòu)支付服務(wù)以其方便、快捷、無(wú)相關(guān)費(fèi)用的特點(diǎn)，越來(lái)越受到人們的青睞，越來(lái)越多的網(wǎng)上交易采用非金融機(jī)構(gòu)支付服務(wù)企業(yè)來(lái)完成支付結(jié)算。非金融機(jī)構(gòu)支付服務(wù)方式已經(jīng)融入到了人們的日常生活和工作中，正在改變著人們的消費(fèi)習(xí)慣。
一、檢測(cè)背景
近年來(lái)，隨著互聯(lián)網(wǎng)應(yīng)用服務(wù)的發(fā)展、尤其是電子商務(wù)的勃興，我國(guó)的非金融機(jī)構(gòu)支付服務(wù)產(chǎn)業(yè)進(jìn)入了爆炸式增長(zhǎng)時(shí)期。目前，非金融機(jī)構(gòu)支付服務(wù)企業(yè)的年交易總額已突破萬(wàn)億元，在人民銀行備案的非金融機(jī)構(gòu)支付服務(wù)企業(yè)數(shù)量已達(dá)260多家。非金融機(jī)構(gòu)支付服務(wù)以其方便、快捷、無(wú)相關(guān)費(fèi)用的特點(diǎn)，越來(lái)越受到人們的青睞，越來(lái)越多的網(wǎng)上交易采用非金融機(jī)構(gòu)支付服務(wù)企業(yè)來(lái)完成支付結(jié)算。非金融機(jī)構(gòu)支付服務(wù)方式已經(jīng)融入到了人們的日常生活和工作中，正在改變著人們的消費(fèi)習(xí)慣。
然而，非金融機(jī)構(gòu)支付服務(wù)企業(yè)雖然從事金融貨幣支付業(yè)務(wù)，但一直游離于金融監(jiān)管體系之外，各企業(yè)間的信用、技術(shù)、資金實(shí)力等參差不齊，行業(yè)發(fā)展整體面臨不確定性，尤其是大量沉淀資金帶來(lái)的金融風(fēng)險(xiǎn)，以及欺詐、洗錢、套現(xiàn)、釣魚(yú)、信息泄露、業(yè)務(wù)連續(xù)性差等帶來(lái)的技術(shù)與安全風(fēng)險(xiǎn)，不僅嚴(yán)重影響了整個(gè)產(chǎn)業(yè)的形象和進(jìn)一步發(fā)展，也影響了國(guó)家的金融穩(wěn)定和人民財(cái)產(chǎn)安全。
為了規(guī)范非金融機(jī)構(gòu)支付服務(wù)，降低技術(shù)安全風(fēng)險(xiǎn)，維護(hù)資金財(cái)產(chǎn)安全，中國(guó)人民銀行積極出臺(tái)相關(guān)政策陸續(xù)發(fā)布了《非金融機(jī)構(gòu)支付服務(wù)管理辦法》、《非金融機(jī)構(gòu)支付服務(wù)管理辦法實(shí)施細(xì)則》，正式將非金融機(jī)構(gòu)支付服務(wù)納入國(guó)家統(tǒng)一監(jiān)管，并實(shí)施準(zhǔn)入制度，要求從事支付服務(wù)的非金融機(jī)構(gòu)必須取得《支付業(yè)務(wù)許可證》，成為支付機(jī)構(gòu)，才能開(kāi)展支付業(yè)務(wù)。隨后，人民銀行又頒布了《非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)認(rèn)證管理規(guī)定》進(jìn)一步明確了支付業(yè)務(wù)系統(tǒng)檢測(cè)要求。中國(guó)軟件評(píng)測(cè)中心作為國(guó)家級(jí)的權(quán)威的第三方檢測(cè)機(jī)構(gòu)，積極參與了非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)規(guī)范的制訂，并成為央行指定的具有全業(yè)務(wù)檢測(cè)資格的檢測(cè)機(jī)構(gòu)。
本項(xiàng)目涉及的易寶支付是國(guó)內(nèi)知名的非金融機(jī)構(gòu)支付服務(wù)企業(yè)，其向我中心申請(qǐng)的檢測(cè)業(yè)務(wù)類型為互聯(lián)網(wǎng)支付系統(tǒng)檢測(cè)。該系統(tǒng)為該企業(yè)自主開(kāi)發(fā)，根據(jù)《非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)規(guī)范（互聯(lián)網(wǎng)支付部分）》的要求，該系統(tǒng)的檢測(cè)內(nèi)容包括功能、性能、風(fēng)險(xiǎn)監(jiān)控、安全性、文檔五部分。
二、易寶互聯(lián)網(wǎng)支付業(yè)務(wù)系統(tǒng)特點(diǎn)
該支付服務(wù)業(yè)務(wù)系統(tǒng)主要包括網(wǎng)站、交易系統(tǒng)、后臺(tái)管理系統(tǒng)、商戶管理系統(tǒng)、風(fēng)險(xiǎn)監(jiān)控系統(tǒng)等，實(shí)現(xiàn)了客戶管理、賬戶管理、交易處理、資金結(jié)算、對(duì)賬處理、操作處理、統(tǒng)計(jì)報(bào)表、運(yùn)行管理、風(fēng)險(xiǎn)控制等功能。其系統(tǒng)結(jié)構(gòu)如圖1所示。
圖1 易寶互聯(lián)網(wǎng)支付業(yè)務(wù)系統(tǒng)
該支付服務(wù)業(yè)務(wù)系統(tǒng)具有以下特點(diǎn)：
（1） 業(yè)務(wù)流程復(fù)雜
該企業(yè)為客戶提供的服務(wù)形式豐富、方式多樣，除常規(guī)的一般支付流程外，還提供很多衍生的支付流程，以及細(xì)化的賬戶管理內(nèi)容。此外，流程中還融入交易分析和風(fēng)險(xiǎn)監(jiān)控的控制措施，因此流程環(huán)節(jié)較多。
（2） 性能測(cè)試點(diǎn)需求全面，數(shù)據(jù)量大
該系統(tǒng)實(shí)際交易數(shù)據(jù)量大，在測(cè)試時(shí)要求的數(shù)據(jù)量也較大，系統(tǒng)性能需求較高。
（3） 具有獨(dú)立的風(fēng)控系統(tǒng)
該系統(tǒng)具有獨(dú)立的風(fēng)控系統(tǒng)，風(fēng)控處理相對(duì)負(fù)責(zé)，對(duì)風(fēng)控系統(tǒng)的測(cè)試需要單獨(dú)進(jìn)行。
（4） 安全性要求較高
非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)涉及資金交易，對(duì)安全性要求較高，央行在相關(guān)管理規(guī)定中要求非金融機(jī)構(gòu)支付服務(wù)企業(yè)信息系統(tǒng)安全等級(jí)要達(dá)到信息安全等級(jí)保護(hù)三級(jí)的基本要求。
（5） 系統(tǒng)龐大，設(shè)備較多
該系統(tǒng)為全國(guó)性支付服務(wù)系統(tǒng)，系統(tǒng)部署較龐大，涉及的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備較多。
三、測(cè)試分析與準(zhǔn)備
針對(duì)以上特點(diǎn)，在測(cè)試項(xiàng)目實(shí)施前，我們重點(diǎn)做好了以下幾項(xiàng)工作，確保項(xiàng)目實(shí)施順利進(jìn)行：
（1）盡早熟悉系統(tǒng)，通過(guò)文檔、系統(tǒng)介紹、實(shí)際操作等方式，使測(cè)試人員在進(jìn)場(chǎng)前熟悉系統(tǒng)，理清復(fù)雜流程，明確檢測(cè)內(nèi)容，設(shè)計(jì)詳細(xì)的測(cè)試用例，并適當(dāng)增加測(cè)試人員，保障測(cè)試全面、細(xì)致。
（2）提前準(zhǔn)備測(cè)試環(huán)境和測(cè)試數(shù)據(jù)，設(shè)計(jì)性能測(cè)試場(chǎng)景，溝通測(cè)試方法，并要求被檢測(cè)機(jī)構(gòu)事先完成自測(cè)，保障系統(tǒng)質(zhì)量。
（3）提前熟悉風(fēng)控系統(tǒng)實(shí)現(xiàn)流程，分析與功能之間的交叉關(guān)系，在測(cè)試時(shí)與功能配合。
（4）就檢測(cè)內(nèi)容與被檢測(cè)機(jī)構(gòu)進(jìn)行溝通，了解當(dāng)前系統(tǒng)安全設(shè)計(jì)和部署情況，對(duì)于一些可能影響整個(gè)實(shí)施進(jìn)度的情況，例如設(shè)備缺失等提前確認(rèn)，盡早準(zhǔn)備。
（5）提前了解系統(tǒng)的部署情況，要求被檢測(cè)機(jī)構(gòu)提交詳細(xì)的網(wǎng)絡(luò)拓?fù)鋱D，并確定好被測(cè)方熟悉系統(tǒng)部署的管理員。
（7）由于本項(xiàng)目測(cè)試為標(biāo)準(zhǔn)符合性測(cè)試，測(cè)試依據(jù)以《非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測(cè)規(guī)范（互聯(lián)網(wǎng)支付部分）》為主，因此，需要就檢測(cè)內(nèi)容與被檢測(cè)機(jī)構(gòu)進(jìn)行溝通，使被檢測(cè)機(jī)構(gòu)對(duì)檢測(cè)內(nèi)容的理解沒(méi)有偏差。
四、檢測(cè)技術(shù)及方法
在本項(xiàng)目中，我們重點(diǎn)采用了場(chǎng)景法、邊界值法進(jìn)行系統(tǒng)功能測(cè)試，采用負(fù)載壓力測(cè)試工具實(shí)現(xiàn)性能測(cè)試。
下面結(jié)合具體關(guān)鍵點(diǎn)測(cè)試案例，來(lái)分析本系統(tǒng)的測(cè)試方法。
1. 轉(zhuǎn)賬流程測(cè)試
常規(guī)情況下，支付系統(tǒng)為客戶提供正常轉(zhuǎn)賬流程，但本系統(tǒng)對(duì)客戶進(jìn)行了細(xì)分，包括個(gè)人會(huì)員、電子協(xié)議商戶、紙質(zhì)協(xié)議商戶，對(duì)不同類型的客戶間轉(zhuǎn)賬設(shè)置了不同的處理規(guī)則，如表1所示。此外，還存在轉(zhuǎn)出賬戶處于異常狀態(tài)、轉(zhuǎn)出賬戶余額不足、轉(zhuǎn)入賬戶處于異常狀態(tài)、轉(zhuǎn)賬金額超過(guò)交易限額、轉(zhuǎn)賬支付撤銷等異常情況，如圖2所示。
表1 轉(zhuǎn)賬對(duì)應(yīng)關(guān)系表
圖2該系統(tǒng)轉(zhuǎn)賬流程
2. 退款流程測(cè)試
退款業(yè)務(wù)屬于異常交易處理范疇，本系統(tǒng)提供的退款方式較多包括單筆退款、批量退款、多次退款、人工退款等，此外由于退款還涉及手續(xù)費(fèi)返還，分成結(jié)算、查詢統(tǒng)計(jì)等業(yè)務(wù)，退款流程較復(fù)雜，對(duì)于邊界值處理的準(zhǔn)確性得要求較高，如表2所示。因此，對(duì)于測(cè)試來(lái)講，設(shè)計(jì)好的測(cè)試用例對(duì)于退款業(yè)務(wù)測(cè)試尤為重要。本次測(cè)試采用等價(jià)類法、邊界值法相結(jié)合的方法，按照退款計(jì)算設(shè)計(jì)方案將其分類，分為自動(dòng)退款和人工退款，然后再細(xì)分為單筆退款和批量退款，同時(shí)考慮單次退款金額略小于原交易額、單次退款金額等于原交易額、單次退款金額略超過(guò)原交易額、多次退款金額略小于原交易額、多次退款金額等于原交易額、多次退款金額略超過(guò)原交易額，分別設(shè)計(jì)測(cè)試用例，執(zhí)行時(shí)還需重點(diǎn)查看手續(xù)費(fèi)返還、分成結(jié)算、狀態(tài)查詢統(tǒng)計(jì)等的正確性。
綜合以上情況，整個(gè)轉(zhuǎn)賬過(guò)程包含很多事件，
將登錄作為起始事件，登錄后的不同操作會(huì)進(jìn)一步觸發(fā)不同的事件，這些事件在被觸發(fā)時(shí)形成了不同的場(chǎng)景，因此我們可以采用場(chǎng)景法，將正常的轉(zhuǎn)賬過(guò)程作為基本流，將特殊情況和異常情況的處理過(guò)程作為備份流，根據(jù)確定的基本流和備份流形成不同場(chǎng)景并設(shè)計(jì)相應(yīng)的測(cè)試用例，最后通過(guò)執(zhí)行測(cè)試用例完成測(cè)試。
3. 風(fēng)險(xiǎn)監(jiān)控測(cè)試
風(fēng)險(xiǎn)監(jiān)控測(cè)試重點(diǎn)驗(yàn)證系統(tǒng)對(duì)賬戶及交易風(fēng)險(xiǎn)防范的能力及相關(guān)管理制度。鑒于本項(xiàng)目具有獨(dú)立的風(fēng)控系統(tǒng)，在測(cè)試時(shí)主要采用系統(tǒng)驗(yàn)證、文檔審核與訪談相結(jié)合，考核相關(guān)管理制度是否完善，并模擬釣魚(yú)、套現(xiàn)、欺詐、大額交易、洗錢、盜用等不同類型的賬戶管理風(fēng)險(xiǎn)和風(fēng)險(xiǎn)交易，考核系統(tǒng)的風(fēng)險(xiǎn)防范及預(yù)警能力。
4. 性能測(cè)試
本項(xiàng)目性能測(cè)試包括并發(fā)測(cè)試、大數(shù)據(jù)量測(cè)試及系統(tǒng)自恢復(fù)能力測(cè)試。測(cè)試點(diǎn)較多，數(shù)據(jù)量大，需求指標(biāo)要求較高，因此在測(cè)試前被檢測(cè)機(jī)構(gòu)盡量構(gòu)建與真實(shí)環(huán)境相同配置、數(shù)據(jù)規(guī)模滿足檢測(cè)規(guī)范要求的壓力測(cè)試環(huán)境。測(cè)試時(shí)采用了自動(dòng)化性能測(cè)試工具，創(chuàng)建壓力測(cè)試程序、構(gòu)建壓力測(cè)試模型，對(duì)被測(cè)試系統(tǒng)實(shí)施自動(dòng)化壓力測(cè)試，并對(duì)測(cè)試過(guò)程中系統(tǒng)各關(guān)注點(diǎn)進(jìn)行監(jiān)控，最后形成壓力測(cè)試結(jié)果分析報(bào)告。
4. 安全測(cè)評(píng)
系統(tǒng)安全性檢測(cè)針對(duì)系統(tǒng)安全不同層面的不同內(nèi)容，主要采用訪談、現(xiàn)場(chǎng)檢查、自動(dòng)化工具測(cè)試、文檔審核相結(jié)合的方法進(jìn)行考查，考察內(nèi)容包括網(wǎng)絡(luò)安全性、主機(jī)安全性、應(yīng)用安全性、數(shù)據(jù)安全性、運(yùn)維安全性和業(yè)務(wù)連續(xù)性。針對(duì)本項(xiàng)目服務(wù)器等相關(guān)設(shè)備較多的特點(diǎn)，測(cè)試前充分了解系統(tǒng)部署情況，熟悉網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)架構(gòu)以及網(wǎng)絡(luò)安全產(chǎn)品策略、服務(wù)器策略、審計(jì)及日志管理方式、應(yīng)用安全保護(hù)設(shè)施、數(shù)據(jù)加密及存儲(chǔ)方式等，要求被測(cè)方準(zhǔn)備好相關(guān)制度和文檔，并針對(duì)不同考查點(diǎn)，制定相應(yīng)詳細(xì)的訪談表、檢查表及測(cè)試表。
五、結(jié)束語(yǔ)
測(cè)試過(guò)程中發(fā)現(xiàn)了系統(tǒng)功能缺失、實(shí)現(xiàn)錯(cuò)誤、風(fēng)險(xiǎn)管理制度不完善、安全設(shè)備不到位、文檔與系統(tǒng)存在部分不一致等問(wèn)題，經(jīng)過(guò)整改和回歸測(cè)試，系統(tǒng)已滿足檢測(cè)規(guī)范要求，目前該企業(yè)已取得央行《支付業(yè)務(wù)許可證》。
