パスワード変更機能を検査したい

■概要
パスワード変更機能を検査する場合の設定について説明します。

【パターン1：検査に必要な分だけ大量にユーザを用意する】

【パターン2：後処理の引継ぎ設定にてパスワードを戻す】

※注意事項

パターン2の後処理の引継ぎ設定でパスワードを元に戻す手法が利用できるのは、アプリケーションが以下仕様の場合です。
　・パスワード変更処理後も、有効セッションが維持される
　・検査パターン（不正な値）が送信された場合でも、有効セッションが破棄されない
　・パスワードの世代管理をしていない
　・旧パスワードの入力が不要（シナリオマップ機能のみ）

条件が１つでも満たせない場合、パターン1にて対応ください。

 

 

■NGとなるシナリオ例
パスワード変更機能検査時のエラー

 

■設定概要
パスワードの変更機能の検査では、検査によりパスワードが意図しない値に変わるため、検査設定を行わずに検査を実施した場合、ログイン状態の再現ができなくなり、検査に失敗します。
また、変更後のパスワードが検査パターンとなり復旧が困難になることがあります。
そのため、検査の度に異なるユーザを用意するか、パスワードを元の状態に戻す検査設定を行う必要があります。

 

＜目次＞

【パターン1：検査に必要な分だけ大量にユーザを用意する】

－[1] 設定方法詳細

【パターン2：後処理の引継ぎ設定にてパスワードを戻す】

－[1] 設定方法詳細

－1. 旧パスワードの入力が必要なパスワード変更機能の検査

－2. 旧パスワードの入力が不要なパスワード変更機能の検査

 

【パターン1：検査に必要な分だけ大量にユーザを用意する】

[1] 設定方法詳細

パスワード変更機能を正しく検査するために、ログイン可能な大量のユーザを事前に準備し、リクエスト毎に異なるユーザを使用する検査方法を説明します。
詳細につきましては、下記FAQ記事の【パターン2：累積失敗回数で管理している場合】をご参照ください。
[参考FAQ] 「複数回ログインに失敗するとアカウントロックされるアプリケーションを検査したい」

 

 

【パターン2：後処理の引継ぎ設定にてパスワードを戻す】

[1] 設定方法詳細

パスワード変更機能を正しく検査するために、都度パスワードを変更前の値に戻すHandlerの設定方法を、旧パスワード(現在パスワード)が必要なパターンとそうでないパターンに分けて説明します。

■シナリオイメージ
パスワードが元の状態になるよう、後処理を設定する

 

1. 旧パスワードの入力が必要なパスワード変更機能の検査
以下に「旧パスワード」の入力を要するパスワード変更機能の設定方法を記載いたします。
※旧パスワードの入力が不要な場合は、後述する『旧パスワードの入力が不要なパスワード変更機能の検査』を参照してください。

以下は、［4.パスワード変更(完了)］で送信されるパラメータの例です。

送信パラメータに旧パスワード「now_password」、新パスワード「new_password」、新パスワード（確認用）「conf_password」が指定されています。
※ログを取得する際は、旧パスワードと新パスワードに別の値を指定してください。

以下は、［6.パスワード変更(完了)］で送信されるパラメータの例です。
［4.パスワード変更(完了)］で変更したパスワードを元のログイン用パスワードに戻すために必要となるため、［5.パスワード変更(入力)］［6.パスワード変更(完了)］を新規に取得してください。

目次へ戻る

 

[2]対応手順の概要

パスワード変更機能を正常に検査するため、［4.パスワード変更(完了)］のメッセージIDにパスワード変更処理のメッセージIDを指定した後処理を設定し、変更されたパスワードが検査前の値となるようにします。

目次へ戻る

 

[3]設定手順

①［1.ログインフォーム］～［4.パスワード変更(完了)］に必要な準備処理を設定します。

②次に検査対象画面［4.パスワード変更(完了)］へ後処理を設定してください。

後処理のテンプレートから「全て表示」ボタンを押下して「パスワード復帰」を選択し、以下の値を入力します。

 

目次へ戻る

 

[4]設定後の確認

設定後、［4.パスワード変更(完了)］のテスト送信を行い、後処理でパスワードの変更処理に成功しているか確認ください。
パスワードの変更処理が成功していることを確認後、テスト送信結果のレスポンス内容にエラーが発生していなければ検査が正常に行えます。

旧パスワードの入力が必要なパスワード変更機能の検査方法は以上です。

目次へ戻る

 

2. 旧パスワードの入力が不要なパスワード変更機能の検査

以下に「旧パスワード」の入力を要さないパスワード変更機能の設定方法を記載いたします。

以下は、［4.パスワード変更(完了)］で送信されるパラメータの例です。

また、後処理に設定する［5.パスワード変更(入力)］［6.パスワード変更(完了)］は、［4.パスワード変更(完了)］で変更したパスワードを元のログイン用パスワードに戻すために必要となるため、元のログイン用パスワードに変更するログを新規に取得してください。

 

[2]対応手順の概要

パスワード変更機能を正常に検査するため、［4.パスワード変更(完了)］のメッセージIDにパスワード変更処理のメッセージIDを指定した後処理を設定し、変更されたパスワードが検査前の値となるようにします。

目次へ戻る

 

[3]設定手順

①［1.ログインフォーム］～［4.パスワード変更(完了)］に必要な準備処理を設定します。

②次に検査対象画面［4.パスワード変更(完了)］へ後処理を設定してください。

・ログ一覧からHandlerをご利用の場合
後処理のテンプレートから『パラメータ自動引継ぎ』を選択し、以下の値を入力します。

※自動で引継ぎが行われないパラメータが存在する場合は、後処理のテンプレート『大量巡回(正規表現引継ぎ)』を選択し、適宜引継ぎ設定を行ってください。

 

・シナリオマップ機能（Vex9.0以降）をご利用の場合
後処理を選択し、以下の値を選択します。

目次へ戻る

 

[4]設定後の確認

設定後、［4.パスワード変更(完了)］のテスト送信を行い、後処理でパスワードの変更処理に成功しているか確認ください。
パスワードの変更処理が成功していることを確認後、テスト送信結果のレスポンス内容にエラーが発生していなければ検査が正常に行えます。

 

目次へ戻る

ページTOPへ戻る