基本路径测试法是在程序控制流图的基础上，通过分析控制构造的环路复杂性，导出基本可执行路径集合，从而设计测试用例的方法。

控制流图
   
   环路复杂度V(G)=5

线性无关路径：
   1．1-2-4-5-6-8-9-10
   2．1-2-4-5-7-8-9-10(1-2-4-5-7-8-10)
   3．1-2-4-5-6-8-10(1-2-4-5-7-8-10)
   4．1-2-3-4-5-6-8-9-10(1-2-3-4-5-7-8-9-10，1-2-3-4-5-6-8-10，1-2-3-4-5-7-8-10)
   5．1-2-3-8-9-10(1-2-3-8-10)

[解析] 本题考查白盒测试法的应用。
   第一小题考查白盒测试用例设计方法中的基本路径测试法。
   基本路径测试法是在程序控制流图的基础上，通过分析控制构造的环路复杂性，导出基本可执行路径集合，从而设计测试用例的方法。
   第二小题考查白盒测试用例设计方法：基本路径测试法。涉及到的知识点包括根据代码绘制控制流图、计算环路复杂度。
   控制流图是描述程序控制流的一种图示方式，它由节点和定向边构成。控制流图的节点代表一个基本块，定向边代表控制流的方向。其中要特别注意的是，如果判断中的条件表达式是复合条件，即条件表达式是由一个或多个逻辑运算符连接的逻辑表达式，则需要改变复合条件的判断为一系列之单个条件的嵌套的判断。本题程序中，if(tw!=size.x || th!=size.y)这条判断语句中的判定由两个条件组成，因此在画控制流图的时候需要拆开成两条判断语句。需要注意的是，复合条件之间是“&&”的关系还是“||”的关系反应在控制流图的画法是不同的。
   程序的环路复杂度等于控制流图中判定节点的个数加1，本题控制流图中判定节点个数为4，所以V(G)=5。
   第三小题考查白盒测试用例设计方法：基本路径法。涉及到的知识点包括：根据控制流图和环路复杂度给出线性无关路径。
   线性无关路径是指包含一组以前没有处理的语句或条件的路径。从控制流图上来看，一条线性无关路径是至少包含一条在其他线性无关路径中从未有过的边的路径。程序的环路复杂度等于线性无关路径的条数，所以本题中应该有5条线性无关路径。

响应时间是系统完成事务执行准备后所采集的时间戳和系统完成待执行事务后所采集的时间戳之间的时间间隔，是衡量特定类型应用事务性能的重要指标，表明用户执行一项操作大致需要多长时间。

系统能够承受的并发用户登录的最大数量为50。
   题中指出“通常情况下，交易操作合理的响应时间为5秒以内”。此案例中，登录响应时间随虚拟并发用户数的增加而增长。在50个虚拟并发用户的负载下，登录响应时间达到5s(注意图形中响应时间指标的比例为10)。当负载超过50个虚拟并发用户，响应时间超过5s。所以此案例中最合理的并发用户数为50。

服务器CPU资源使用率是合理的。
   2M带宽是系统处理业务的瓶颈。
   理由是对比“4M带宽登录”案例，4M带宽下，系统每秒处理完成的登录个数固定在13.5个左右，登录响应时间随虚拟用户数的增加而增长。在60个虚拟用户的压力下，登录响应时间在4.2秒左右(注意图形中响应时间指标的比例为10)。在80个虚拟用户的压力下，登录响应时间在5.8秒左右，所以在合理登录响应时间(5秒)内预计同时登录用户数是70左右。服务器CPU使用率成为系统处理的瓶颈，说明随着带宽的提高，系统的处理能力进一步提高，同时高吞吐量造成系统资源的紧张，带来了新的系统性能瓶颈。

服务器CPU资源使用率不合理，其平均值超过85%。
   4M带宽的网络测试环境与2M带宽的网络测试环境相比，带来了新的系统瓶颈(CPU资源使用率平均值超过85%)，所以增加带宽不是提高系统性能的有效方法。
   在此基础上继续提高带宽，系统的处理能力将进一步提高，高的处理能力会使服务器的资源瓶颈进一步加重，带来更加严重的后果。

CPU资源使用成为系统瓶颈时的解决方案如下：
   (1)增加CPU的个数。
   (2)提高CPU的主频。
   (3)将Web服务器与数据库服务器分开部署。
   (4)调整软件的设计与开发。
   带宽成为系统瓶颈时的解决方案如下：
   (1)增加带宽。
   (2)压缩传输数据。

控制流图
   
   环路复杂度V(G)=8

线性无关路径：
   1. 1-2-3-4-2...5-6-13
   2. 1-2-5-6-13
   3. 1-2-3-5-6-13
   4.1-2...5-7-8-9-10-11-7...12-1...5-6-13
   5.1-2...5-7-12-1...5-6-13
   6.1-2...5-7-8-12-1...5-6-13
   7.1-2...5-7-8-9-12-1...5-6-13
   8.1-2…5-7-8-9-10-12-1...5-6-13

[解析] 本题考查白盒测试法及应用。
   【问题1】
   本问题考查白盒测试用例设计方法中的判定覆盖法。
   判定覆盖指设计足够的测试用例，使得被测程序中每个判定表达式至少获得一次“真”值和“假”值，从而使程序的每一个分支至少都通过一次。本题中程序有3个判定，所以满足判定覆盖一共需要6个逻辑条件。
   【问题2】
   本问题考查白盒测试用例设计方法中的基本路径测试法。涉及的知识点包括根据代码绘制控制流图、计算环路复杂度。
   控制流图是描述程序控制流的一种图示方式，它由节点和定向边构成。控制流图的节点代表一个基本块，定向边代表控制流的方向。其中要特别注意的是，如果判断中的条件表达式是复合条件，即条件表达式是由一个或多个逻辑运算符连接的逻辑表达式，则需要改变复合条件的判断为一系列单个条件的嵌套的判断。本题程序中，while(*string&& *string!='-')和while(*string&&*string!=''&&*string!='\n'&&*string!='\t')这两条判断语句中的判定由多个条件组成，因此在画控制流图的时候需要拆开成多条判断语句。需要注意的是，复合条件之间是“||”的关系还是“&&”的关系反应在控制流图的画法是不同的。
   程序的环路复杂度等于控制流图中判定节点的个数加1，本题控制流图中判定节点个数为7，所以V(G)=8。
   【问题3】
   本问题考查白盒测试用例设计方法中的基本路径法。涉及的知识点包括根据控制流图和环路复杂度给出线性无关路径。
   线性无关路径是指包含一组以前没有处理的语句或条件的路径。从控制流图上来看，一条线性无关路径是至少包含一条在其他线性无关路径中从未有过的边的路径。程序的环路复杂度等于线性无关路径的条数，所以本题中应该有8条线性无关路径。

交易吞吐量：系统服务器每秒能够处理通过的交易数。
   交易响应时间：是系统完成事务执行准备后所采集的时间戳和系统完成待执行事务后所采集的时间戳之间的时间间隔，是衡量特定类型应用事务性能的重要指标，表明用户执行一项操作大致需要多长时间。

随着负载的增加，当交易吞吐量不再递增时，交易响应时间一般会递增。
   当系统达到交易吞吐量极限时，客户端交易会在请求队列中排队等待，等待的时间会记录在响应时间中。

数据库服务器资源使用不合理。
   当并发用户数达到50时，数据库服务器CPU平均利用率达到97.5%，属于不合理范围。

数据库端造成此缺陷的主要原因包括：
   ● 服务器资源负载过重。
   ● 数据库设计不合理。
   ● 数据库单个事务处理响应时间长。
   ● 系统并发负载造成最终用户响应时间长。
   有效的解决方案是：采用数据库集群策略，并注意配置正确。

(1000000×2×80%)/(8×20×8×3600×20%)=1.74trans/s
   即服务器处理“税票录入”交易的吞吐量应达到1.74trans/s。

XSS(跨站点脚本攻击)是一种注入式攻击，主要通过恶意脚本进行攻击，任何脚本如＜SCRIPT＞都不该被接受。
   (1)＜script＞alert('Wufff!')＜/script＞
   (2)＜b onmouseover=alert('Wufff!')＞click me!＜/b＞
   防止的主要手段是对功能符号进行编码(转义)。

图形测试的主要检查点如下：
   (1)颜色饱和度和对比度是否合适；
   (2)需要突出的链接的颜色是否容易识别；
   (3)是否正确加载所有的图形。

页面测试可以从以下几个方面进行：
   (1)页面的一致性；
   (2)在每个页面上是否设计友好的用户界面和直观的导航系统；
   (3)是否考虑多种浏览器的需要；
   (4)是否建立了页面文件的命名体系；
   (5)是否充分考虑了合适的页面布局技术，如层叠样式表、表格和帧结构等。

设计如下测试：[注：设计类似如下用例即可，其中包含SQL功能符号使SQL变为不符合设计意图即可]
   status: 'fulfilled' --, OrderID: '2014' OR '1'='1'
   采用传递参数的形式，Java的JDBC驱动自动会将其按照相应的类型处理，功能符号会进行转义。因此，该SQL语句是安全。

[解析] 本题考查Web应用测试相关知识及应用。Web应用测试除了类似传统软件系统测试的性能测试、压力测试等之外，还需要测试页面、链接、浏览器、表单和可用性等，由于Web应用部署访问的大众化特点，对安全性尤其要重视。
   此类题目要求考生阅读题目对现实问题的描述，根据对问题的分析，回答测试有关的问题。本题目说明中除了功能背景之外，给出了几个技术点，即采用Java EE平台，页面中采用表单实现数据的提交与交互，使用图形(Graphics)以提升展示效果。
   第一小题考查Web应用安全性测试的XSS攻击。
   XSS攻击测试是Web应用安全性测试的主要内容之一。
   许多Web应用系统在某些情况下，接收页面上传的内容，并入新页面，作为新页面的内容。例如，在新闻网用户可以对新闻进行评论，用户可以输入如下带有HTML标记的内容：
   ＜Script＞alert("Hello World!"); ＜/Script＞
   在用户提交之后，标记将提交到服务器上，并在有新用户访问新的页面中显示，此时用户所看到的网页中包含以上标记的部分元素可能是：
   ＜div＞
   ＜Script＞alert("Hello World!"); ＜/Script＞
   ＜/div＞
   从用户的角度看，该网页中就出现了弹出窗口提示，显示“Hello World!”。如下图所示：
   
   即：用户输入的内容已经被浏览器成功执行。再如输入如下内容：
   ＜b onmouseover=alert('Hello!')＞click me!＜/b＞
   在用户提交之后，后续再访问时，用户所看到的网页中包含以上标记的部分元素可能是：
   ＜div＞
   ＜b onmouseover=alert('Hello!')＞click me!＜/b＞
   ＜/div＞
   即新用户所看到网页中显示“Click me!”。当用户鼠标移过此文字时，就会弹出窗口(左侧为Chrome弹出，右侧为IE9直接给出的提示窗口，多次鼠标滑过操作Chrome提示窗口多了一行浏览器对阻止这类代码的创建新窗口的选项，firefox类似)：
   
   而如果这类代码都可以执行，就存在被真正恶意攻击者攻击的可能，而且可能造成各类安全问题。所以网站提交代码中的任何脚本、页面功能符号都不应该被直接接受作为功能符号在后续使用。
   本题目说明中采用表单实现数据提交与交互，在提交数据时，对数据的内容中包含的特殊内容要进行测试。在测试用例时，要考虑HTML标记符、脚本。所以测试用例的设计主要考虑＜Script＞、＜b＞等功能符号。在页面上真正需要HTML标记的，在接收到服务器端时，先进行转义。
   第二小题考查页面的展示效果方面的测试。
   Web页面展示效果在用户界面友好性方面非常重要，是用户界面测试的主要内容之一。图形测试主要检查图片大小、颜色饱和度和对比度是否合适、需要突出的链接的颜色是否容易识别、是否正确加载等等。
   第三小题考查Web应用页面测试。
   Web页面测试内容包括：页面一致性、用户友好性、浏览器兼容性、布局合理性、直观的导航等。要关注页面是否一致，每个页面上是否设计友好的用户界面，导航系统是否直观，是否考虑浏览器的兼容性，元素布局是否合理，功能块布局是否合理，页面颜色搭配是否合理，字体大小是否合理等方面。另外，还要考虑页面文件的命名体系是否建立。
   第四小题考查Web应用安全性方面的SQL注入，SQL注入是Web应用安全性测试的重要方面之一。
   许多Web应用系统采用某种数据库，接收用户从Web页面中输入，完成展示相关存储的数据(如检查用户登录信息)、将输入数据存储到数据库(如用户输入表单中数据域并点击提交后，系统将信息存入数据库)等操作。在有些情况下，将用户输入的数据和设计好的SQL框架拼接后提交给数据库执行，就可能存在用户输入的数据并非设计的正确格式，就给恶意用户提供了破坏的机会，即SQL注入。恶意用户输入不期望的数据，拼接后提交给数据库执行，造成可能使用其他用户身份，查看其他用户的私密信息，还可能修改数据库的结构，甚至是删除应用的数据库表等严重后果。SQL注入在使用SSL的应用中仍然存在，甚至是防火墙也无法防止SQL注入。因此，在测试Web应用时，需要认真仔细设计测试用例，采用Web漏洞扫描工具等进行检查，进行认真严格的测试，以保证不存在SQL注入机会。
   本系统实现时，对销售订单的更新所用的SQL语句如下：
   PreparedStatement pStmt=connection.prepareStatement("UPDATE SalesOrder SET status= ? WHERE OrderID= ?;");
   然后通过setString(...)；的方式设置参数值后加以执行。
   在SQL语句中采用参数的方式传递前台传递来的值，因为不论是什么值，都会只作为setString(...)的参数值，不会作为SQL语句的其他功能符，所以本SQL语句更新订单的方式是防止SQL注入的。设计如下测试SQL注入的测试用例：
   status: 'fulfilled' --, OrderID: '2014' OR '1'='1'
   检查执行结果，或者传递给数据库的SQL语句，会发现所有用例中的功能字符都会经过特定的转义后作为status和OrderID的值。和拼接SQL的方式不同，采用参数形式传递时，Java的JDBC驱动自动会将其按照相应的类型处理，功能符号会进行转义。因此，测试用例中的注释--、OR等都会作为参数的值，不会作为功能符，也就不会改变SQL语句本身的功能结构，该SQL语句是安全的。