第三方软件功能性测试：软件文件上传功能测试

文件上传功能是网站系统中的比较常见模块，广泛用于文档管理、图片展示、媒体共享及数据交换等功能中。文件上传风险一般是用户可能上传恶意文件、超大文件或非法格式文件，导致系统安全漏洞、网站性能下降或功能异常等。

1. 格式限制测试
文件格式验证旨在防止上传可执行脚本、恶意程序或非预期格式文件。上传测试需测试以下方面：

白名单与黑名单测试：
系统通常通过白名单（允许的格式，如.jpg、.pdf）或黑名单（禁止的格式，如.exe、.sh）进行限制。测试需验证：
白名单内的文件（如.docx、.png）是否成功上传；
黑名单内的文件（如.php、.js）是否被拦截并返回明确错误提示；
边缘格式测试（如扩展名大小写混合：.JPG、.Pdf）是否被正确处理；
双重扩展名攻击（如恶意文件伪装为“report.pdf.exe”）是否被有效阻断。
畸形目录文件构造 (如恶意文件伪装为“report.php;a.jpg”）是否被有效阻断。

MIME类型检测：
系统应同时验证文件的MIME类型（如image/jpeg、application/pdf）与扩展名是否一致。测试需模拟篡改HTTP请求中的Content-Type字段，验证后端是否严格校验MIME类型而非仅依赖扩展名。

二进制签名验证：
高级系统可能通过文件头部的魔术数字（Magic Number）识别真实格式。测试需上传扩展名与内容不匹配的文件（如将.exe重命名为.jpg），验证系统是否能通过二进制分析拒绝此类文件。

2. 文件大小限制测试
文件大小限制就是为了防止服务器存储溢出、带宽滥用或DoS攻击。测试需覆盖：

前端拦截测试：
检查浏览器端是否通过HTML的accept属性或JavaScript实现初步过滤。

后端严格校验：
通过工具（如Postman、Burp Suite）直接发送超出限制的文件，验证后端是否返回错误（如HTTP 413 Payload Too Large）并记录日志。测试边界值（如恰好等于限制值、限制值+1字节）以及极端值（如0字节文件、数GB文件）。

服务器资源配置测试：
验证服务器（如Nginx、Apache）的客户端最大请求体配置（如client_max_body_size）是否与应用程序逻辑一致，避免因配置冲突导致拦截失败。

3. 其他测试
并发上传测试：模拟多用户同时上传大文件，检测服务器内存、CPU及磁盘I/O是否出现异常。
中断恢复测试：上传过程中断开网络，验证是否支持断点续传或清理临时文件。
恶意文件检测：上传包含XSS脚本的HTML文件或伪装格式的病毒文件，验证安全扫描模块（如ClamAV）是否触发。