第三方支付接口测试面试要点

　　一、测试环境准备--支付宝沙箱环境

　　研发过程中投产前对测试支付宝第三方接口均需使用支付宝的沙箱环境。

　　沙箱环境测试适用于用户暂未签约，或者签约审核、应用未上线等使用。用户沙箱测试成功后，需以正式环境为准。

　　在测试沙箱环境时需要下载沙箱环境的支付宝钱包工具进行测试。

　　沙箱准备工作：

　　(1)查看沙箱应用：点击沙箱应用(沙箱环境无需创建沙箱应用)。

　　(2)生成密钥：点击如何生成RSA2密钥或者如何生成公钥证书(选择沙箱应用配置)。

　　(3)获取支付宝公钥。

　　(4)下载沙箱钱包。

　　注意事项：

　　沙箱测试和正式环境测试存在一定区别，建议正式环境为准。即投产前需进行预发布测试。

　　沙箱钱包目前只支持安卓手机进行下载，ios手机不支持。

　　(1)沙箱测试timeout_express(相对超时参数)和time_expire(绝对超时参数)不可超过当前时间15小时。

　　(2)沙箱测试只支持余额支付，不支持银行卡、余额宝等其他支付方式。

　　(3)电脑网站支付方式：

　　电脑网站支付扫码支付必须使用沙箱钱包的扫一扫功能。

　　电脑网站支付PC端登录支付必须使用沙箱账户登录支付。

　　二、接口调用流程

　　注意事项：

　　当一个支付请求被发送到支付渠道方，支付渠道会很快返回一个结果。但是这个结果，只是告诉你调用成功了，不是扣款成功，这叫同步调用。很多新手会拿这个结果当作支付成功了，那就会被坑死，结果就是支付成功率特别高，伴随着一堆无法解释的坏账率，测试人员尤其要注意测试数据的篡改：金额，同步返回结果，订单号等。

　　三、测试过程中需要注意的主要测试点及异常场景：

　　(1)首先要保证接口都能正常调用;

　　(2)生成一笔订单，支付完成后，同步或异步重复回调，只有一次有效;

　　(3)生成一笔订单，复制订单号和金额，再次生成一笔订单，用fiddler设置断点，用第一笔已完成的订单号和订单金额去替换现有的订单号和金额，无法完成支付;

　　(4)生成一笔订单，跳转到第三方时修改金额，无法到账，或者如果是游戏充值游戏币的话，到账为篡改后的金额对应的游戏币;

　　(5)异步通知屏蔽，同步有效，进行支付，同步能够正常到账;

　　(6)同步设置无效，异步有效，进行支付，异步能够正常到账;

　　(7)同步异步都设置无效，在第三方支付完成后，在重发机制时间范围内，设置异步有效，到下次通知时间点时，能够正常通知到账(补单机制的验证，如果商户收到第三方支付成功的通知后，要告知第三方支付收到了成功的通知，如果第三方支付收到商户应答不是ok或超时，第三方支付就会认为通知失败，会在规定的时间内持续调用notify_url，一般有时间或次数的限制);

　　(8)针对支付订单在数据库中存储是否完整和正确进行校验(比如：第三方订单号--方便与第三方对账和问题排查、订单金额、订单状态等);

　　(9)如果是用户购买实物商品，用户发起退货，要保证退货流程正常，资金能正常返还，要考虑下并发情况的验证以确保安全性;

　　(10)如果是用户购买虚拟商品，比如话费、油卡之类的商品，只有在发货失败的时候才能发起退货，注意验证。

　　四、经典案例

　　· 用户购买100元游戏币时，前往第三方支付跳转进行金额的篡改由100元改成0.01元，结果就拿了0.01元充值了100元的游戏币。对订单金额没有做校验导致这样的后果，损失比较大。大家在测试的过程中一定要注意对服务端进行校验，支付时数据的篡改一定要有校验。

　　· 当同步、异步通知都存在的情况的，异步通知(第三方支付成功后台通知)，没有到账，导致部分用户充值不到账，引起客诉。当同步、异步并存的时候，一定要分别对同步和异步进行检验，确保都能正常到账。

　　我们所做的绝大多少的互联网产品都会涉及到第三方支付，所以支付功能必然是重要的，作为测试互联网产品的一员，我们必须要做好支付的安全性。

　　那么，如何规避支付风险?

　　为了进一步的加强支付功能的安全，也可以适当的增加一些监控机制，比如：订单与第三方订单进行对比，可以使用跑批完成，当我们完成支付的订单从数据库中查出来与通过第三方订单查询接口查询出来的同一个订单金额有异常时，进行报警通知能够及时发现处理，甚至当有异常情况进行创建订单的终止，从而把损失降到最低。

        以上是关于软件测试的知识，由多测师亲自撰写，全网独家提供!  https://www.duoceshi.com/