近年來，隨著互聯(lián)網(wǎng)應(yīng)用服務(wù)的發(fā)展、尤其是電子商務(wù)的勃興，我國的非金融機構(gòu)支付服務(wù)產(chǎn)業(yè)進入了爆炸式增長時期。目前，非金融機構(gòu)支付服務(wù)企業(yè)的年交易總額已突破萬億元，在人民銀行備案的非金融機構(gòu)支付服務(wù)企業(yè)數(shù)量已達260多家。非金融機構(gòu)支付服務(wù)以其方便、快捷、無相關(guān)費用的特點，越來越受到人們的青睞，越來越多的網(wǎng)上交易采用非金融機構(gòu)支付服務(wù)企業(yè)來完成支付結(jié)算。非金融機構(gòu)支付服務(wù)方式已經(jīng)融入到了人們的日常生活和工作中，正在改變著人們的消費習(xí)慣。
一、檢測背景
近年來，隨著互聯(lián)網(wǎng)應(yīng)用服務(wù)的發(fā)展、尤其是電子商務(wù)的勃興，我國的非金融機構(gòu)支付服務(wù)產(chǎn)業(yè)進入了爆炸式增長時期。目前，非金融機構(gòu)支付服務(wù)企業(yè)的年交易總額已突破萬億元，在人民銀行備案的非金融機構(gòu)支付服務(wù)企業(yè)數(shù)量已達260多家。非金融機構(gòu)支付服務(wù)以其方便、快捷、無相關(guān)費用的特點，越來越受到人們的青睞，越來越多的網(wǎng)上交易采用非金融機構(gòu)支付服務(wù)企業(yè)來完成支付結(jié)算。非金融機構(gòu)支付服務(wù)方式已經(jīng)融入到了人們的日常生活和工作中，正在改變著人們的消費習(xí)慣。
然而，非金融機構(gòu)支付服務(wù)企業(yè)雖然從事金融貨幣支付業(yè)務(wù)，但一直游離于金融監(jiān)管體系之外，各企業(yè)間的信用、技術(shù)、資金實力等參差不齊，行業(yè)發(fā)展整體面臨不確定性，尤其是大量沉淀資金帶來的金融風(fēng)險，以及欺詐、洗錢、套現(xiàn)、釣魚、信息泄露、業(yè)務(wù)連續(xù)性差等帶來的技術(shù)與安全風(fēng)險，不僅嚴重影響了整個產(chǎn)業(yè)的形象和進一步發(fā)展，也影響了國家的金融穩(wěn)定和人民財產(chǎn)安全。
為了規(guī)范非金融機構(gòu)支付服務(wù)，降低技術(shù)安全風(fēng)險，維護資金財產(chǎn)安全，中國人民銀行積極出臺相關(guān)政策陸續(xù)發(fā)布了《非金融機構(gòu)支付服務(wù)管理辦法》、《非金融機構(gòu)支付服務(wù)管理辦法實施細則》，正式將非金融機構(gòu)支付服務(wù)納入國家統(tǒng)一監(jiān)管，并實施準入制度，要求從事支付服務(wù)的非金融機構(gòu)必須取得《支付業(yè)務(wù)許可證》，成為支付機構(gòu)，才能開展支付業(yè)務(wù)。隨后，人民銀行又頒布了《非金融機構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測認證管理規(guī)定》進一步明確了支付業(yè)務(wù)系統(tǒng)檢測要求。中國軟件評測中心作為國家級的權(quán)威的第三方檢測機構(gòu)，積極參與了非金融機構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測規(guī)范的制訂，并成為央行指定的具有全業(yè)務(wù)檢測資格的檢測機構(gòu)。
本項目涉及的易寶支付是國內(nèi)知名的非金融機構(gòu)支付服務(wù)企業(yè)，其向我中心申請的檢測業(yè)務(wù)類型為互聯(lián)網(wǎng)支付系統(tǒng)檢測。該系統(tǒng)為該企業(yè)自主開發(fā)，根據(jù)《非金融機構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測規(guī)范（互聯(lián)網(wǎng)支付部分）》的要求，該系統(tǒng)的檢測內(nèi)容包括功能、性能、風(fēng)險監(jiān)控、安全性、文檔五部分。
二、易寶互聯(lián)網(wǎng)支付業(yè)務(wù)系統(tǒng)特點
該支付服務(wù)業(yè)務(wù)系統(tǒng)主要包括網(wǎng)站、交易系統(tǒng)、后臺管理系統(tǒng)、商戶管理系統(tǒng)、風(fēng)險監(jiān)控系統(tǒng)等，實現(xiàn)了客戶管理、賬戶管理、交易處理、資金結(jié)算、對賬處理、操作處理、統(tǒng)計報表、運行管理、風(fēng)險控制等功能。其系統(tǒng)結(jié)構(gòu)如圖1所示。
圖1 易寶互聯(lián)網(wǎng)支付業(yè)務(wù)系統(tǒng)
該支付服務(wù)業(yè)務(wù)系統(tǒng)具有以下特點：
（1） 業(yè)務(wù)流程復(fù)雜
該企業(yè)為客戶提供的服務(wù)形式豐富、方式多樣，除常規(guī)的一般支付流程外，還提供很多衍生的支付流程，以及細化的賬戶管理內(nèi)容。此外，流程中還融入交易分析和風(fēng)險監(jiān)控的控制措施，因此流程環(huán)節(jié)較多。
（2） 性能測試點需求全面，數(shù)據(jù)量大
該系統(tǒng)實際交易數(shù)據(jù)量大，在測試時要求的數(shù)據(jù)量也較大，系統(tǒng)性能需求較高。
（3） 具有獨立的風(fēng)控系統(tǒng)
該系統(tǒng)具有獨立的風(fēng)控系統(tǒng)，風(fēng)控處理相對負責(zé)，對風(fēng)控系統(tǒng)的測試需要單獨進行。
（4） 安全性要求較高
非金融機構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)涉及資金交易，對安全性要求較高，央行在相關(guān)管理規(guī)定中要求非金融機構(gòu)支付服務(wù)企業(yè)信息系統(tǒng)安全等級要達到信息安全等級保護三級的基本要求。
（5） 系統(tǒng)龐大，設(shè)備較多
該系統(tǒng)為全國性支付服務(wù)系統(tǒng)，系統(tǒng)部署較龐大，涉及的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備較多。
三、測試分析與準備
針對以上特點，在測試項目實施前，我們重點做好了以下幾項工作，確保項目實施順利進行：
（1）盡早熟悉系統(tǒng)，通過文檔、系統(tǒng)介紹、實際操作等方式，使測試人員在進場前熟悉系統(tǒng)，理清復(fù)雜流程，明確檢測內(nèi)容，設(shè)計詳細的測試用例，并適當增加測試人員，保障測試全面、細致。
（2）提前準備測試環(huán)境和測試數(shù)據(jù)，設(shè)計性能測試場景，溝通測試方法，并要求被檢測機構(gòu)事先完成自測，保障系統(tǒng)質(zhì)量。
（3）提前熟悉風(fēng)控系統(tǒng)實現(xiàn)流程，分析與功能之間的交叉關(guān)系，在測試時與功能配合。
（4）就檢測內(nèi)容與被檢測機構(gòu)進行溝通，了解當前系統(tǒng)安全設(shè)計和部署情況，對于一些可能影響整個實施進度的情況，例如設(shè)備缺失等提前確認，盡早準備。
（5）提前了解系統(tǒng)的部署情況，要求被檢測機構(gòu)提交詳細的網(wǎng)絡(luò)拓撲圖，并確定好被測方熟悉系統(tǒng)部署的管理員。
（7）由于本項目測試為標準符合性測試，測試依據(jù)以《非金融機構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測規(guī)范（互聯(lián)網(wǎng)支付部分）》為主，因此，需要就檢測內(nèi)容與被檢測機構(gòu)進行溝通，使被檢測機構(gòu)對檢測內(nèi)容的理解沒有偏差。
四、檢測技術(shù)及方法
在本項目中，我們重點采用了場景法、邊界值法進行系統(tǒng)功能測試，采用負載壓力測試工具實現(xiàn)性能測試。
下面結(jié)合具體關(guān)鍵點測試案例，來分析本系統(tǒng)的測試方法。
1. 轉(zhuǎn)賬流程測試
常規(guī)情況下，支付系統(tǒng)為客戶提供正常轉(zhuǎn)賬流程，但本系統(tǒng)對客戶進行了細分，包括個人會員、電子協(xié)議商戶、紙質(zhì)協(xié)議商戶，對不同類型的客戶間轉(zhuǎn)賬設(shè)置了不同的處理規(guī)則，如表1所示。此外，還存在轉(zhuǎn)出賬戶處于異常狀態(tài)、轉(zhuǎn)出賬戶余額不足、轉(zhuǎn)入賬戶處于異常狀態(tài)、轉(zhuǎn)賬金額超過交易限額、轉(zhuǎn)賬支付撤銷等異常情況，如圖2所示。
表1 轉(zhuǎn)賬對應(yīng)關(guān)系表
圖2該系統(tǒng)轉(zhuǎn)賬流程
2. 退款流程測試
退款業(yè)務(wù)屬于異常交易處理范疇，本系統(tǒng)提供的退款方式較多包括單筆退款、批量退款、多次退款、人工退款等，此外由于退款還涉及手續(xù)費返還，分成結(jié)算、查詢統(tǒng)計等業(yè)務(wù)，退款流程較復(fù)雜，對于邊界值處理的準確性得要求較高，如表2所示。因此，對于測試來講，設(shè)計好的測試用例對于退款業(yè)務(wù)測試尤為重要。本次測試采用等價類法、邊界值法相結(jié)合的方法，按照退款計算設(shè)計方案將其分類，分為自動退款和人工退款，然后再細分為單筆退款和批量退款，同時考慮單次退款金額略小于原交易額、單次退款金額等于原交易額、單次退款金額略超過原交易額、多次退款金額略小于原交易額、多次退款金額等于原交易額、多次退款金額略超過原交易額，分別設(shè)計測試用例，執(zhí)行時還需重點查看手續(xù)費返還、分成結(jié)算、狀態(tài)查詢統(tǒng)計等的正確性。
綜合以上情況，整個轉(zhuǎn)賬過程包含很多事件，
將登錄作為起始事件，登錄后的不同操作會進一步觸發(fā)不同的事件，這些事件在被觸發(fā)時形成了不同的場景，因此我們可以采用場景法，將正常的轉(zhuǎn)賬過程作為基本流，將特殊情況和異常情況的處理過程作為備份流，根據(jù)確定的基本流和備份流形成不同場景并設(shè)計相應(yīng)的測試用例，最后通過執(zhí)行測試用例完成測試。
3. 風(fēng)險監(jiān)控測試
風(fēng)險監(jiān)控測試重點驗證系統(tǒng)對賬戶及交易風(fēng)險防范的能力及相關(guān)管理制度。鑒于本項目具有獨立的風(fēng)控系統(tǒng)，在測試時主要采用系統(tǒng)驗證、文檔審核與訪談相結(jié)合，考核相關(guān)管理制度是否完善，并模擬釣魚、套現(xiàn)、欺詐、大額交易、洗錢、盜用等不同類型的賬戶管理風(fēng)險和風(fēng)險交易，考核系統(tǒng)的風(fēng)險防范及預(yù)警能力。
4. 性能測試
本項目性能測試包括并發(fā)測試、大數(shù)據(jù)量測試及系統(tǒng)自恢復(fù)能力測試。測試點較多，數(shù)據(jù)量大，需求指標要求較高，因此在測試前被檢測機構(gòu)盡量構(gòu)建與真實環(huán)境相同配置、數(shù)據(jù)規(guī)模滿足檢測規(guī)范要求的壓力測試環(huán)境。測試時采用了自動化性能測試工具，創(chuàng)建壓力測試程序、構(gòu)建壓力測試模型，對被測試系統(tǒng)實施自動化壓力測試，并對測試過程中系統(tǒng)各關(guān)注點進行監(jiān)控，最后形成壓力測試結(jié)果分析報告。
4. 安全測評
系統(tǒng)安全性檢測針對系統(tǒng)安全不同層面的不同內(nèi)容，主要采用訪談、現(xiàn)場檢查、自動化工具測試、文檔審核相結(jié)合的方法進行考查，考察內(nèi)容包括網(wǎng)絡(luò)安全性、主機安全性、應(yīng)用安全性、數(shù)據(jù)安全性、運維安全性和業(yè)務(wù)連續(xù)性。針對本項目服務(wù)器等相關(guān)設(shè)備較多的特點，測試前充分了解系統(tǒng)部署情況，熟悉網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)架構(gòu)以及網(wǎng)絡(luò)安全產(chǎn)品策略、服務(wù)器策略、審計及日志管理方式、應(yīng)用安全保護設(shè)施、數(shù)據(jù)加密及存儲方式等，要求被測方準備好相關(guān)制度和文檔，并針對不同考查點，制定相應(yīng)詳細的訪談表、檢查表及測試表。
五、結(jié)束語
測試過程中發(fā)現(xiàn)了系統(tǒng)功能缺失、實現(xiàn)錯誤、風(fēng)險管理制度不完善、安全設(shè)備不到位、文檔與系統(tǒng)存在部分不一致等問題，經(jīng)過整改和回歸測試，系統(tǒng)已滿足檢測規(guī)范要求，目前該企業(yè)已取得央行《支付業(yè)務(wù)許可證》。
