动态黑盒测试与静态白盒测试

Question

如果我们必须在动态黑盒测试与静态白盒测试之间做出选择，哪一个更值得我们选择？ 动态黑匣子测试正在进行测试，而没有深入了解底层代码，而静态白盒测试是代码审查而不执行它。

Answer 1

如果您绝对必须选择黑箱测试。如果代码在做错事情时处于完美状态，这并没有帮助。测试还应验证该产品可以实际用于解决客户的问题。

这就是说，我不明白你为什么应该（或可能）将测试限制在一种类型。不同的策略会带来不同的问题，最好是做一点点小事，而不是花时间做一件事。

Answer 2

这取决于要求，但静态白盒测试是因为以下几点可取：

白箱整体检测许多类别的发病率较高，我们可以推理出具有较低FN （假阴性）率。 静态比动态5更好的7类：

• 凭证/会话预测
• SQL注入
• 路径遍历
• 不足授权
• OS征用

SQL注入，路径遍历和OS命令deering可能通过静态找到更好，因为这对于静态的100％代码覆盖率来说是一个好方法。