L18 · Μεθοδολογία WSTG: Πώς Ξέρεις Ότι Τελείωσες
Μεθοδολογία WSTG: πώς ξέρεις ότι τελείωσες
«Πώς ξέρεις ότι τελείωσες;» Το «δοκίμασα ό,τι μου ήρθε» δεν είναι απάντηση.
Γιατί υπάρχει αυτό το μάθημα
Το L17 έκλεισε λέγοντας ότι ο κατάλογος Top 10 δεν είναι μεθοδολογία. Αυτό είναι το
μάθημα που καλύπτει το κενό.
Η ερώτηση που δεν μπορεί να απαντήσει ένας αρχάριος —και που θα του κάνει κάθε πελάτης— είναι:
«Πώς ξέρεις ότι τελείωσες;»
«Δοκίμασα ό,τι μου ήρθε» δεν είναι απάντηση. «Έτρεξα το εργαλείο» δεν είναι απάντηση. Η
απάντηση είναι μεθοδολογία: ένας κατάλογος περιοχών που έπρεπε να εξεταστούν, και ένα
αρχείο για το τι έγινε σε καθεμία — συμπεριλαμβανομένου του «τίποτα, και γι’ αυτόν τον
λόγο».
Μαθησιακοί στόχοι
- Εξηγεί γιατί η μεθοδολογία υπερέχει της αναζήτησης «ό,τι βρω»
- Περιγράφει τη δομή ενός οδηγού ελέγχου και πώς πλοηγείται σε αυτόν
- Παράγει πίνακα κάλυψης που δείχνει τι εξετάστηκε και τι όχι
- Διακρίνει τις παθητικές από τις ενεργητικές δοκιμές ενός οδηγού και ξέρει ποιες
- Συνδέει την κάλυψη με την αναφορά και τα τεκμήρια
Τι λύνει η μεθοδολογία
Τρία προβλήματα, και όλα εμφανίζονται στην πρώτη αληθινή ανάθεση:
Ξεχνάς. Μια εφαρμογή έχει δεκάδες περιοχές ελέγχου. Χωρίς κατάλογο, εξετάζεις αυτές που
θυμάσαι — δηλαδή αυτές που σου άρεσαν την προηγούμενη φορά.
Δεν μπορείς να δηλώσεις κάλυψη. «Ελέγχθηκε η εφαρμογή» δεν σημαίνει τίποτα. «Ελέγχθηκαν οι
περιοχές Α έως Ζ· η Η δεν εξετάστηκε επειδή το περιβάλλον δεν το επέτρεπε» είναι δήλωση που
αντέχει.
Δεν μπορείς να παραδώσεις σε άλλον. Δύο άτομα στην ίδια ανάθεση χωρίς κοινή δομή είτε
κάνουν την ίδια δουλειά δύο φορές είτε αφήνουν κενό. Και τα δύο τα πληρώνει ο πελάτης.
Η μεθοδολογία δεν σου λέει πώς να σκέφτεσαι. Σου εγγυάται ότι δεν θα παραλείψεις περιοχή
επειδή δεν σου ήρθε στο μυαλό εκείνη τη μέρα. Η κρίση παραμένει δική σου· η κάλυψη παύει
να είναι θέμα τύχης.
Πώς είναι δομημένος ένας οδηγός ελέγχου
Ο καθιερωμένος ανοιχτός οδηγός για εφαρμογές ιστού οργανώνει τις δοκιμές σε κατηγορίες,
και κάθε δοκιμή έχει σταθερή μορφή: τι εξετάζεις, γιατί έχει σημασία, πώς το κάνεις, τι
περιμένεις να δεις.
Οι κατηγορίες ακολουθούν τη λογική μιας εφαρμογής, όχι μιας επίθεσης:
| Περιοχή | Τι εξετάζει |
|---|---|
| Συλλογή πληροφοριών | Τι αποκαλύπτει η εφαρμογή χωρίς να τη ρωτήσεις — L15 §6 |
| Ρύθμιση και ανάπτυξη | Κεφαλίδες, μέθοδοι, αρχεία που δεν έπρεπε να είναι εκεί |
| Διαχείριση ταυτότητας | Ρόλοι, εγγραφή, αν μπορείς να μάθεις ποιοι χρήστες υπάρχουν |
| Αυθεντικοποίηση | Πώς αποδεικνύεις ποιος είσαι, και τι το προστατεύει |
| Εξουσιοδότηση | L17 §4Β — αν ελέγχεται το δικαίωμα, όχι μόνο η ταυτότητα |
| Διαχείριση συνεδρίας | L17 §2 — όλα τα ερωτήματα για το αναγνωριστικό |
| Έλεγχος εισόδου | L17 §4Α — πού καταλήγουν τα δεδομένα του χρήστη |
| Χειρισμός σφαλμάτων | Τι αποκαλύπτει η εφαρμογή όταν σπάει |
| Κρυπτογραφία | Τι προστατεύεται στη μεταφορά και στην αποθήκευση |
| Επιχειρησιακή λογική | Αν η ροή μπορεί να καταχραστεί, χωρίς καμία τεχνική ευπάθεια |
| Πλευρά πελάτη | Ό,τι εκτελείται στο πρόγραμμα περιήγησης |
⧗ ΑΠΑΙΤΕΙ ΕΠΑΛΗΘΕΥΣΗ — τα ακριβή ονόματα, η αρίθμηση και το πλήθος δοκιμών ανά κατηγορία
αλλάζουν μεταξύ εκδόσεων του οδηγού και δεν παρατίθενται εδώ ως σταθερά. Χρησιμοποιείς τον
οδηγό που ισχύει, και δηλώνεις ποια έκδοση.
Η κατηγορία που ξεχνούν οι αρχάριοι
Η επιχειρησιακή λογική. Δεν υπάρχει εργαλείο που να τη βρίσκει, γιατί δεν υπάρχει τεχνική
ευπάθεια — η εφαρμογή λειτουργεί ακριβώς όπως γράφτηκε. Το πρόβλημα είναι ότι γράφτηκε λάθος.
Παραδείγματα σχήματος: μπορείς να παραλείψεις ένα βήμα μιας διαδικασίας; να επιστρέψεις σε
προηγούμενο και να το αλλάξεις; να επαναλάβεις μια ενέργεια που έπρεπε να γίνει μία φορά; να
δώσεις αρνητική ποσότητα;
Είναι η κατηγορία με τη μεγαλύτερη αξία ανά ώρα, ακριβώς επειδή κανένα αυτόματο εργαλείο
δεν την καλύπτει και οι περισσότεροι ελεγκτές τη βιάζονται.
Ποιες δοκιμές χρειάζονται άδεια
Ο στόχος 4. Ένας οδηγός ελέγχου δεν είναι άδεια — είναι κατάλογος.
| Τύπος | Παραδείγματα | Απαίτηση |
|---|---|---|
| Παρατήρηση | Ανάγνωση κεφαλίδων, δημόσιων σελίδων, μηνυμάτων | Εντός συνηθισμένου εύρους |
| Αλληλεπίδραση | Υποβολή τιμών, μεταβολή παραμέτρων ως εξουσιοδοτημένος χρήστης | Ρητά στο RoE |
| Μεταβολή κατάστασης | Ενέργειες που δημιουργούν, αλλάζουν ή διαγράφουν δεδομένα | Ξεχωριστή άδεια |
| Επιβάρυνση | Οτιδήποτε δοκιμάζει όρια ή αντοχή | Σχεδόν πάντα εκτός |
Η γραμμή του L15 ισχύει ακέραιη και εδώ: η υποβολή φόρμας σύνδεσης είναι απόπειρα
αυθεντικοποίησης, ανεξάρτητα από το ότι ένας οδηγός την περιλαμβάνει.
Δύο πράγματα που δεν κάνεις ποτέ σε περιβάλλον παραγωγής χωρίς ρητή γραπτή έγκριση:
δοκιμές που δημιουργούν ή διαγράφουν πραγματικά δεδομένα, και δοκιμές που στέλνουν μηνύματα
σε πραγματικούς ανθρώπους. Και τα δύο είναι εύκολο να συμβούν κατά λάθος ακολουθώντας
κατάλογο μηχανικά.
Ο πίνακας κάλυψης
Ο στόχος 3, και το παραδοτέο του μαθήματος.
| Κατηγορία | Κατάσταση | Τεκμήριο | Σημείωση |
|---|---|---|---|
| Συλλογή πληροφοριών | ✅ Ολοκληρώθηκε | 03-raw/… |
— |
| Ρύθμιση | ✅ | 03-raw/… |
2 ευρήματα |
| Ταυτότητα | ⚠ Μερικώς | 03-raw/… |
Δεν δόθηκε λογαριασμός διαχειριστή |
| Εξουσιοδότηση | ✅ | 03-raw/… |
1 εύρημα |
| Επιχ. λογική | ⛔ Δεν εξετάστηκε | — | Εκτός εύρους κατά RoE §4 |
| … |
Τρεις καταστάσεις, και η τρίτη είναι εξίσου σημαντική με την πρώτη.
«Δεν εξετάστηκε» με λόγο είναι επαγγελματική δήλωση. «Δεν εξετάστηκε» σιωπηλά είναι
παράλειψη.
Το L01 §8 Π4 το είπε γενικά — ένας έλεγχος δεν αποδεικνύει ασφάλεια. Ο πίνακας κάλυψης
είναι ο μηχανισμός που το κάνει τίμιο: δείχνει ακριβώς τι καλύπτει το συμπέρασμά σου.
Και προστατεύει κι εσένα. Αν προκύψει αργότερα πρόβλημα σε περιοχή που δηλώθηκε ως μη
εξετασθείσα, η δήλωση είναι η απάντησή σου.
Πώς συνδέεται με τα υπόλοιπα
| Πηγαίνει σε | Τι |
|---|---|
| L24 | Κάθε δοκιμή που έτρεξε παράγει αρχείο στο 03-raw/, με hash |
| L25 | Ο πίνακας κάλυψης γίνεται ενότητα «εύρος και κάλυψη» της αναφοράς |
| L07 | Κάθε δοκιμή καταγράφεται με ώρα, εργαλείο, έκδοση, παρατήρηση/ερμηνεία |
| L03 | Οι στήλες «εκτός εύρους» παραπέμπουν σε ρήτρα, όχι σε εντύπωση |
Η τελευταία γραμμή έχει σημασία: κάθε «δεν εξετάστηκε» πρέπει να δείχνει σε κάτι. Είτε σε
ρήτρα του RoE, είτε σε τεχνικό εμπόδιο που περιγράφεις, είτε σε απόφαση που πήρε ο πελάτης.
«Δεν προλάβαμε» είναι αποδεκτός λόγος αν γραφτεί.
Άσκηση
Μέρος Α — σχέδιο κάλυψης. Για τη δική σου εφαρμογή (ή την τοπική του L17), φτιάξε τον
πίνακα της §4 με όλες τις κατηγορίες της §2. Χωρίς να δοκιμάσεις τίποτα ακόμη, συμπλήρωσε
τι σκοπεύεις να κάνεις σε καθεμία.
Μέρος Β — ταξινόμηση αδειών. Για κάθε κατηγορία, σημείωσε τον τύπο της §3. Ποιες θα
απαιτούσαν ξεχωριστή άδεια σε πραγματική ανάθεση;
Μέρος Γ — εκτέλεσε το παθητικό μέρος. Μόνο τις δοκιμές τύπου «παρατήρηση». Συμπλήρωσε
κατάσταση και τεκμήριο.
Μέρος Δ — επιχειρησιακή λογική, γραπτά. Χωρίς να δοκιμάσεις: γράψε τρεις τρόπους με
τους οποίους θα μπορούσε να καταχραστεί η ροή της εφαρμογής, χωρίς καμία τεχνική ευπάθεια.
Μέρος Ε — δήλωση. Γράψε την παράγραφο «εύρος και κάλυψη» που θα έμπαινε στην αναφορά,
συμπεριλαμβάνοντας ρητά τι δεν εξετάστηκε και γιατί.
Βαθμολόγηση
| Κριτήριο | Βάρος |
|---|---|
| Ε: το «δεν εξετάστηκε» δηλώνεται με λόγο, όχι παραλείπεται | 30 % |
| Δ: τρία εύλογα σενάρια κατάχρησης ροής | 25 % |
| Β: σωστή ταξινόμηση τύπου ανά κατηγορία | 20 % |
| Α: καμία κατηγορία δεν λείπει από τον πίνακα | 15 % |
| Γ: τεκμήρια αρχειοθετημένα κατά L07 | 10 % |
Σημείωση προς τον εκπαιδευτή. Το Δ διακρίνει καθαρότερα από όλα. Είναι το μόνο μέρος που
δεν λύνεται με κατάλογο, γιατί απαιτεί κατανόηση του τι κάνει η εφαρμογή για τον χρήστη.
Ο μαθητής που γράφει τεχνικές ευπάθειες αντί για καταχρήσεις ροής δεν έχει διαβάσει τη §2 —
και είναι το ίδιο κενό που θα έχει και ως επαγγελματίας, γιατί κανένα εργαλείο δεν θα του το
καλύψει.
Συνήθη λάθη
| Λάθος | Τι ισχύει |
|---|---|
| Ο οδηγός ως λίστα προς εκτέλεση | Είναι κατάλογος περιοχών· η κρίση είναι δική σου |
| Ο οδηγός ως άδεια | §3 — το RoE δίνει άδεια, όχι ο οδηγός |
| Παράλειψη κατηγοριών που «δεν ισχύουν» | Δηλώνονται ως μη εφαρμόσιμες, με λόγο (§4) |
| Η επιχειρησιακή λογική προσπερνιέται | §2 — καμία αυτοματοποίηση δεν την καλύπτει |
| «Ελέγχθηκε η εφαρμογή» στην αναφορά | §4 — δηλώνεται κάλυψη, όχι πληρότητα |
| Η έκδοση του οδηγού δεν αναφέρεται | Οι κατηγορίες αλλάζουν (§2) |
Σχέση με το προηγούμενο άρθρο
Το προηγούμενο κείμενο ήταν 649 λέξεις — όχι οι 1.288 που κατέγραφε το πρόγραμμα σπουδών —
και λειτουργούσε ως περιγραφή του οδηγού, όχι ως μάθημα μεθοδολογίας.
| Το προηγούμενο | Διόρθωση |
|---|---|
| Παρέθετε αριθμό νόμου | Πολιτική L02 — καμία παραπομπή χωρίς νομικό έλεγχο |
| Απαριθμούσε κατηγορίες με σταθερό πλήθος δοκιμών | §2 — αλλάζουν ανά έκδοση· δηλώνεις ποια |
| Κατάλογος τεχνολογιών και εργαλείων | Αφαιρέθηκε — παλιώνει, δεν διδάσκει |
| Καμία έννοια κάλυψης | §4 — το παραδοτέο του μαθήματος |
| Καμία διάκριση τύπου δοκιμής | §3 — ποιες χρειάζονται ξεχωριστή άδεια |
| Καμία αναφορά σε επιχειρησιακή λογική | §2 — η κατηγορία με τη μεγαλύτερη αξία |
Το παλιό άρθρο ανακατευθύνεται εδώ.
Εκκρεμότητες
| # | Εκκρεμότητα |
|---|---|
| 1 | Τρέχουσα έκδοση του οδηγού, με ονόματα κατηγοριών και ημερομηνία ελέγχου |
| 2 | Υπόδειγμα πίνακα κάλυψης σε μορφή που δέχεται η εργασία αναφοράς |
| 3 | Τοπική εφαρμογή για την άσκηση — κοινή με L17 |
Σημείωση σύνταξης
Το κείμενο συντάχθηκε με τη βοήθεια AI και βρίσκεται υπό συνεχή τεκμηρίωση. Τα ονόματα και το πλήθος δοκιμών ανά κατηγορία αλλάζουν μεταξύ εκδόσεων του οδηγού και δεν παρατίθενται ως σταθερά, σκόπιμα. Παρατηρήσεις και διορθώσεις είναι ευπρόσδεκτες.