3. 登录功能怎么测才能讲出深度？
登录功能是面试里最常被问到的业务测试场景。
很多人回答登录测试，只会说正确账号、错误密码、账号为空、密码为空。这个层次太浅，面试官很难判断你是否具备真实项目经验。
一、先说明登录的测试目标
登录不是简单判断能不能进系统。
登录功能的测试目标包括：
- 合法用户能正常登录；
- 非法用户不能登录；
- 登录态能正确生成、保持和失效；
- 权限和安全控制有效；
- 异常场景下系统提示合理；
- 接口、数据库、日志数据一致。
先把目标说清楚，回答就不会散。
二、正常流程要覆盖完整链路
正常登录至少要验证：
- 输入正确账号和密码；
- 点击登录后跳转到首页；
- 用户昵称、头像、角色显示正确；
- 登录接口返回成功；
- Token 或 Session 正确生成；
- 登录日志有记录；
- 数据库最后登录时间更新。
如果是企业系统，还要关注登录后默认进入哪个组织、哪个角色、哪些菜单可见。
三、异常输入不能只测空值
异常输入可以从这些方面展开：
- 账号为空；
- 密码为空；
- 账号不存在；
- 密码错误；
- 账号格式错误；
- 账号被禁用；
- 账号未激活；
- 密码包含特殊字符；
- 前后空格是否自动处理；
- 超长输入是否被限制。
这里既有字段校验，也有业务状态校验。
四、验证码和防刷机制要重点关注
如果系统有验证码，要测试：
- 验证码为空；
- 验证码错误；
- 验证码过期；
- 验证码刷新后旧验证码失效；
- 连续输错是否触发验证码；
- 验证码是否可以被重复使用。
如果有密码输错锁定机制，要测试：
- 连续输错次数；
- 锁定提示；
- 锁定时间；
- 锁定后正确密码是否仍不能登录；
- 解锁后是否恢复正常。
五、登录态要测保持和失效
很多登录 Bug 不在登录按钮，而在登录态。
需要关注：
- 刷新页面后是否保持登录；
- 关闭浏览器再打开是否保持登录；
- Token 过期后是否跳转登录页；
- 退出登录后旧 Token 是否失效；
- 多端登录是否互踢；
- 修改密码后旧登录态是否失效；
- 未登录直接访问内部页面是否被拦截。
这些点能明显拉开回答深度。
六、权限和安全不能只靠前端
登录成功后还要看权限是否正确。
比如：
- 普通用户不能访问管理员菜单；
- 通过 URL 直接访问无权限页面要被拦截；
- 调接口访问无权限数据要返回无权限；
- 退出登录后浏览器回退不能看到敏感页面；
- 密码不能明文传输或明文存储。
面试时能说到后端权限校验，会比只测页面更专业。
七、接口、数据库、日志怎么验证
登录功能可以补充这些验证点：
- 抓包查看登录接口请求参数和响应结果；
- 确认密码不会明文出现在请求或日志中；
- 查看用户表状态是否正确；
- 查看登录日志是否记录 IP、时间、设备信息；
- 查看失败登录是否有安全审计记录。
如果面试官追问“你怎么定位登录失败”，可以说会看接口返回、浏览器控制台、服务端日志和用户状态数据。
八、面试回答模板
可以这样回答：
测登录功能时，我会先覆盖正确账号密码登录的主流程，确认页面跳转、用户信息、菜单权限、Token 生成和登录日志都正常；然后测试账号为空、密码为空、账号不存在、密码错误、账号禁用等异常场景；如果有验证码和输错锁定机制，会验证验证码过期、刷新失效、连续输错锁定和解锁逻辑；同时还会关注登录态保持、Token 过期、退出登录、多端登录、未登录访问拦截和权限绕过；最后结合接口、数据库和日志确认数据一致。
这个答案会比“正确账号错误密码”完整很多。
九、下一步建议
登录是最适合练习测试思维的场景。
建议你把登录按四层准备：
- 页面输入校验；
- 业务规则校验；
- 登录态和权限；
- 接口、数据库、日志。
配套刷题：
