近年來，隨著互聯(lián)網(wǎng)應(yīng)用服務(wù)的發(fā)展、尤其是電子商務(wù)的勃興，我國的非金融機(jī)構(gòu)支付服務(wù)產(chǎn)業(yè)進(jìn)入了爆炸式增長時(shí)期。目前，非金融機(jī)構(gòu)支付服務(wù)企業(yè)的年交易總額已突破萬億元，在人民銀行備案的非金融機(jī)構(gòu)支付服務(wù)企業(yè)數(shù)量已達(dá)260多家。非金融機(jī)構(gòu)支付服務(wù)以其方便、快捷、無相關(guān)費(fèi)用的特點(diǎn)，越來越受到人們的青睞，越來越多的網(wǎng)上交易采用非金融機(jī)構(gòu)支付服務(wù)企業(yè)來完成支付結(jié)算。非金融機(jī)構(gòu)支付服務(wù)方式已經(jīng)融入到了人們的日常生活和工作中，正在改變著人們的消費(fèi)習(xí)慣。
一、檢測背景
近年來，隨著互聯(lián)網(wǎng)應(yīng)用服務(wù)的發(fā)展、尤其是電子商務(wù)的勃興，我國的非金融機(jī)構(gòu)支付服務(wù)產(chǎn)業(yè)進(jìn)入了爆炸式增長時(shí)期。目前，非金融機(jī)構(gòu)支付服務(wù)企業(yè)的年交易總額已突破萬億元，在人民銀行備案的非金融機(jī)構(gòu)支付服務(wù)企業(yè)數(shù)量已達(dá)260多家。非金融機(jī)構(gòu)支付服務(wù)以其方便、快捷、無相關(guān)費(fèi)用的特點(diǎn)，越來越受到人們的青睞，越來越多的網(wǎng)上交易采用非金融機(jī)構(gòu)支付服務(wù)企業(yè)來完成支付結(jié)算。非金融機(jī)構(gòu)支付服務(wù)方式已經(jīng)融入到了人們的日常生活和工作中，正在改變著人們的消費(fèi)習(xí)慣。
然而，非金融機(jī)構(gòu)支付服務(wù)企業(yè)雖然從事金融貨幣支付業(yè)務(wù)，但一直游離于金融監(jiān)管體系之外，各企業(yè)間的信用、技術(shù)、資金實(shí)力等參差不齊，行業(yè)發(fā)展整體面臨不確定性，尤其是大量沉淀資金帶來的金融風(fēng)險(xiǎn)，以及欺詐、洗錢、套現(xiàn)、釣魚、信息泄露、業(yè)務(wù)連續(xù)性差等帶來的技術(shù)與安全風(fēng)險(xiǎn)，不僅嚴(yán)重影響了整個(gè)產(chǎn)業(yè)的形象和進(jìn)一步發(fā)展，也影響了國家的金融穩(wěn)定和人民財(cái)產(chǎn)安全。
為了規(guī)范非金融機(jī)構(gòu)支付服務(wù)，降低技術(shù)安全風(fēng)險(xiǎn)，維護(hù)資金財(cái)產(chǎn)安全，中國人民銀行積極出臺(tái)相關(guān)政策陸續(xù)發(fā)布了《非金融機(jī)構(gòu)支付服務(wù)管理辦法》、《非金融機(jī)構(gòu)支付服務(wù)管理辦法實(shí)施細(xì)則》，正式將非金融機(jī)構(gòu)支付服務(wù)納入國家統(tǒng)一監(jiān)管，并實(shí)施準(zhǔn)入制度，要求從事支付服務(wù)的非金融機(jī)構(gòu)必須取得《支付業(yè)務(wù)許可證》，成為支付機(jī)構(gòu)，才能開展支付業(yè)務(wù)。隨后，人民銀行又頒布了《非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測認(rèn)證管理規(guī)定》進(jìn)一步明確了支付業(yè)務(wù)系統(tǒng)檢測要求。中國軟件評(píng)測中心作為國家級(jí)的權(quán)威的第三方檢測機(jī)構(gòu)，積極參與了非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測規(guī)范的制訂，并成為央行指定的具有全業(yè)務(wù)檢測資格的檢測機(jī)構(gòu)。
本項(xiàng)目涉及的易寶支付是國內(nèi)知名的非金融機(jī)構(gòu)支付服務(wù)企業(yè)，其向我中心申請的檢測業(yè)務(wù)類型為互聯(lián)網(wǎng)支付系統(tǒng)檢測。該系統(tǒng)為該企業(yè)自主開發(fā)，根據(jù)《非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測規(guī)范（互聯(lián)網(wǎng)支付部分）》的要求，該系統(tǒng)的檢測內(nèi)容包括功能、性能、風(fēng)險(xiǎn)監(jiān)控、安全性、文檔五部分。
二、易寶互聯(lián)網(wǎng)支付業(yè)務(wù)系統(tǒng)特點(diǎn)
該支付服務(wù)業(yè)務(wù)系統(tǒng)主要包括網(wǎng)站、交易系統(tǒng)、后臺(tái)管理系統(tǒng)、商戶管理系統(tǒng)、風(fēng)險(xiǎn)監(jiān)控系統(tǒng)等，實(shí)現(xiàn)了客戶管理、賬戶管理、交易處理、資金結(jié)算、對賬處理、操作處理、統(tǒng)計(jì)報(bào)表、運(yùn)行管理、風(fēng)險(xiǎn)控制等功能。其系統(tǒng)結(jié)構(gòu)如圖1所示。
圖1 易寶互聯(lián)網(wǎng)支付業(yè)務(wù)系統(tǒng)
該支付服務(wù)業(yè)務(wù)系統(tǒng)具有以下特點(diǎn)：
（1） 業(yè)務(wù)流程復(fù)雜
該企業(yè)為客戶提供的服務(wù)形式豐富、方式多樣，除常規(guī)的一般支付流程外，還提供很多衍生的支付流程，以及細(xì)化的賬戶管理內(nèi)容。此外，流程中還融入交易分析和風(fēng)險(xiǎn)監(jiān)控的控制措施，因此流程環(huán)節(jié)較多。
（2） 性能測試點(diǎn)需求全面，數(shù)據(jù)量大
該系統(tǒng)實(shí)際交易數(shù)據(jù)量大，在測試時(shí)要求的數(shù)據(jù)量也較大，系統(tǒng)性能需求較高。
（3） 具有獨(dú)立的風(fēng)控系統(tǒng)
該系統(tǒng)具有獨(dú)立的風(fēng)控系統(tǒng)，風(fēng)控處理相對負(fù)責(zé)，對風(fēng)控系統(tǒng)的測試需要單獨(dú)進(jìn)行。
（4） 安全性要求較高
非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)涉及資金交易，對安全性要求較高，央行在相關(guān)管理規(guī)定中要求非金融機(jī)構(gòu)支付服務(wù)企業(yè)信息系統(tǒng)安全等級(jí)要達(dá)到信息安全等級(jí)保護(hù)三級(jí)的基本要求。
（5） 系統(tǒng)龐大，設(shè)備較多
該系統(tǒng)為全國性支付服務(wù)系統(tǒng)，系統(tǒng)部署較龐大，涉及的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備較多。
三、測試分析與準(zhǔn)備
針對以上特點(diǎn)，在測試項(xiàng)目實(shí)施前，我們重點(diǎn)做好了以下幾項(xiàng)工作，確保項(xiàng)目實(shí)施順利進(jìn)行：
（1）盡早熟悉系統(tǒng)，通過文檔、系統(tǒng)介紹、實(shí)際操作等方式，使測試人員在進(jìn)場前熟悉系統(tǒng)，理清復(fù)雜流程，明確檢測內(nèi)容，設(shè)計(jì)詳細(xì)的測試用例，并適當(dāng)增加測試人員，保障測試全面、細(xì)致。
（2）提前準(zhǔn)備測試環(huán)境和測試數(shù)據(jù)，設(shè)計(jì)性能測試場景，溝通測試方法，并要求被檢測機(jī)構(gòu)事先完成自測，保障系統(tǒng)質(zhì)量。
（3）提前熟悉風(fēng)控系統(tǒng)實(shí)現(xiàn)流程，分析與功能之間的交叉關(guān)系，在測試時(shí)與功能配合。
（4）就檢測內(nèi)容與被檢測機(jī)構(gòu)進(jìn)行溝通，了解當(dāng)前系統(tǒng)安全設(shè)計(jì)和部署情況，對于一些可能影響整個(gè)實(shí)施進(jìn)度的情況，例如設(shè)備缺失等提前確認(rèn)，盡早準(zhǔn)備。
（5）提前了解系統(tǒng)的部署情況，要求被檢測機(jī)構(gòu)提交詳細(xì)的網(wǎng)絡(luò)拓?fù)鋱D，并確定好被測方熟悉系統(tǒng)部署的管理員。
（7）由于本項(xiàng)目測試為標(biāo)準(zhǔn)符合性測試，測試依據(jù)以《非金融機(jī)構(gòu)支付服務(wù)業(yè)務(wù)系統(tǒng)檢測規(guī)范（互聯(lián)網(wǎng)支付部分）》為主，因此，需要就檢測內(nèi)容與被檢測機(jī)構(gòu)進(jìn)行溝通，使被檢測機(jī)構(gòu)對檢測內(nèi)容的理解沒有偏差。
四、檢測技術(shù)及方法
在本項(xiàng)目中，我們重點(diǎn)采用了場景法、邊界值法進(jìn)行系統(tǒng)功能測試，采用負(fù)載壓力測試工具實(shí)現(xiàn)性能測試。
下面結(jié)合具體關(guān)鍵點(diǎn)測試案例，來分析本系統(tǒng)的測試方法。
1. 轉(zhuǎn)賬流程測試
常規(guī)情況下，支付系統(tǒng)為客戶提供正常轉(zhuǎn)賬流程，但本系統(tǒng)對客戶進(jìn)行了細(xì)分，包括個(gè)人會(huì)員、電子協(xié)議商戶、紙質(zhì)協(xié)議商戶，對不同類型的客戶間轉(zhuǎn)賬設(shè)置了不同的處理規(guī)則，如表1所示。此外，還存在轉(zhuǎn)出賬戶處于異常狀態(tài)、轉(zhuǎn)出賬戶余額不足、轉(zhuǎn)入賬戶處于異常狀態(tài)、轉(zhuǎn)賬金額超過交易限額、轉(zhuǎn)賬支付撤銷等異常情況，如圖2所示。
表1 轉(zhuǎn)賬對應(yīng)關(guān)系表
圖2該系統(tǒng)轉(zhuǎn)賬流程
2. 退款流程測試
退款業(yè)務(wù)屬于異常交易處理范疇，本系統(tǒng)提供的退款方式較多包括單筆退款、批量退款、多次退款、人工退款等，此外由于退款還涉及手續(xù)費(fèi)返還，分成結(jié)算、查詢統(tǒng)計(jì)等業(yè)務(wù)，退款流程較復(fù)雜，對于邊界值處理的準(zhǔn)確性得要求較高，如表2所示。因此，對于測試來講，設(shè)計(jì)好的測試用例對于退款業(yè)務(wù)測試尤為重要。本次測試采用等價(jià)類法、邊界值法相結(jié)合的方法，按照退款計(jì)算設(shè)計(jì)方案將其分類，分為自動(dòng)退款和人工退款，然后再細(xì)分為單筆退款和批量退款，同時(shí)考慮單次退款金額略小于原交易額、單次退款金額等于原交易額、單次退款金額略超過原交易額、多次退款金額略小于原交易額、多次退款金額等于原交易額、多次退款金額略超過原交易額，分別設(shè)計(jì)測試用例，執(zhí)行時(shí)還需重點(diǎn)查看手續(xù)費(fèi)返還、分成結(jié)算、狀態(tài)查詢統(tǒng)計(jì)等的正確性。
綜合以上情況，整個(gè)轉(zhuǎn)賬過程包含很多事件，
將登錄作為起始事件，登錄后的不同操作會(huì)進(jìn)一步觸發(fā)不同的事件，這些事件在被觸發(fā)時(shí)形成了不同的場景，因此我們可以采用場景法，將正常的轉(zhuǎn)賬過程作為基本流，將特殊情況和異常情況的處理過程作為備份流，根據(jù)確定的基本流和備份流形成不同場景并設(shè)計(jì)相應(yīng)的測試用例，最后通過執(zhí)行測試用例完成測試。
3. 風(fēng)險(xiǎn)監(jiān)控測試
風(fēng)險(xiǎn)監(jiān)控測試重點(diǎn)驗(yàn)證系統(tǒng)對賬戶及交易風(fēng)險(xiǎn)防范的能力及相關(guān)管理制度。鑒于本項(xiàng)目具有獨(dú)立的風(fēng)控系統(tǒng)，在測試時(shí)主要采用系統(tǒng)驗(yàn)證、文檔審核與訪談相結(jié)合，考核相關(guān)管理制度是否完善，并模擬釣魚、套現(xiàn)、欺詐、大額交易、洗錢、盜用等不同類型的賬戶管理風(fēng)險(xiǎn)和風(fēng)險(xiǎn)交易，考核系統(tǒng)的風(fēng)險(xiǎn)防范及預(yù)警能力。
4. 性能測試
本項(xiàng)目性能測試包括并發(fā)測試、大數(shù)據(jù)量測試及系統(tǒng)自恢復(fù)能力測試。測試點(diǎn)較多，數(shù)據(jù)量大，需求指標(biāo)要求較高，因此在測試前被檢測機(jī)構(gòu)盡量構(gòu)建與真實(shí)環(huán)境相同配置、數(shù)據(jù)規(guī)模滿足檢測規(guī)范要求的壓力測試環(huán)境。測試時(shí)采用了自動(dòng)化性能測試工具，創(chuàng)建壓力測試程序、構(gòu)建壓力測試模型，對被測試系統(tǒng)實(shí)施自動(dòng)化壓力測試，并對測試過程中系統(tǒng)各關(guān)注點(diǎn)進(jìn)行監(jiān)控，最后形成壓力測試結(jié)果分析報(bào)告。
4. 安全測評(píng)
系統(tǒng)安全性檢測針對系統(tǒng)安全不同層面的不同內(nèi)容，主要采用訪談、現(xiàn)場檢查、自動(dòng)化工具測試、文檔審核相結(jié)合的方法進(jìn)行考查，考察內(nèi)容包括網(wǎng)絡(luò)安全性、主機(jī)安全性、應(yīng)用安全性、數(shù)據(jù)安全性、運(yùn)維安全性和業(yè)務(wù)連續(xù)性。針對本項(xiàng)目服務(wù)器等相關(guān)設(shè)備較多的特點(diǎn)，測試前充分了解系統(tǒng)部署情況，熟悉網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)架構(gòu)以及網(wǎng)絡(luò)安全產(chǎn)品策略、服務(wù)器策略、審計(jì)及日志管理方式、應(yīng)用安全保護(hù)設(shè)施、數(shù)據(jù)加密及存儲(chǔ)方式等，要求被測方準(zhǔn)備好相關(guān)制度和文檔，并針對不同考查點(diǎn)，制定相應(yīng)詳細(xì)的訪談表、檢查表及測試表。
五、結(jié)束語
測試過程中發(fā)現(xiàn)了系統(tǒng)功能缺失、實(shí)現(xiàn)錯(cuò)誤、風(fēng)險(xiǎn)管理制度不完善、安全設(shè)備不到位、文檔與系統(tǒng)存在部分不一致等問題，經(jīng)過整改和回歸測試，系統(tǒng)已滿足檢測規(guī)范要求，目前該企業(yè)已取得央行《支付業(yè)務(wù)許可證》。
