随着经济、技术的不断发展和人们对快捷方便的金融服务的需求，非金融机构支付这一新兴的支付方式已经逐渐进入人们的视野并渐渐融入到人们的日常生活中，但由于非金融机构支付涉及资金日益庞大，而各非金融机构支付服务企业参差不齐，面临技术与安全风险。
因此央行出台相关政策规范非金融机构支付企业准入和服务行为，要求必须获得支付业务许可证的非金融机构才可以继续从事支付服务。
在央行的相关政策中把非金融机构支付服务分为四类，即网络支付、预付卡的发行与受理、银行卡收单和中国人民银行确定的其他服务，并要求符合相关条件并申请支付业务许可证的非金融机构需要对其非金融机构支付服务业务系统进行技术安全检测。
下面，将就对某大型预付卡企业支付服务业务系统检测过程进行分析和总结，并分享针对预付卡类支付系统第三方测试体系的研究经验。
1、业务特点
央行在《非金融机构支付服务管理办法》中对预付卡的定义为以营利为目的发行的、在发行机构之外购买商品或服务的预付价值，包括采取磁条、芯片等技术以卡片、密码等形式发行的预付卡。
从定义中可以了解到，预付卡的种类很多，包括磁条卡、芯片卡、纯密码卡等，各种类型的卡各有不同的特点，例如芯片卡即可以进行联机消费，又可以进行脱机消费且具有卡片密钥，磁条卡则只能进行联机消费，纯密码卡无需刷卡只输入卡号密码即可完成交易等。
因此在制定检测规范时充分考虑了检测规范的适用性，针对不同的卡片类型和业务特点进行区分，在测试过程中也需要与被检测机构进行充分沟通明确其业务类型和特点，以更好的应用检测规范完成检测。
本次项目的测试卡片为芯片卡，预付卡发行与受理系统采用B/S架构，包含卡片管理系统、综合业务系统、商户管理系统、风险监控系统等，支持联机消费和脱机钱包消费。
2、检测内容
预付卡支付服务业务系统检测属于规范符合性测试，在检测规范中对检测内容进行了规定，包括功能、风险监控、性能、安全性、文档、外包等方面。
功能部分：从账户管理、卡片管理、密钥和证书管理、交易处理、资金结算、对账处理、差错处理、统计报表等方面全面检测被测系统的正确性和准确性。
风险监控部分：从联机交易风险管理、脱机交易风险管理、终端风险管理等方面检测被测系统的风险防控能力。
性能部分：选取消费、查询等典型案例，依靠自动化测试工具，通过并发测试、大数据量测试等验证被测系统是否满足性能需求。
安全性部分：从网络安全、主机安全、应用安全、数据安全、运维安全、业务连续性等方面全面评估、考察被测系统的安全性。
文档部分：依照相关标准从完整性、可操作性、准确性、一致性等方面对被测系统的用户文档、开发文档、管理文档进行审查。
外包部分：当被测系统涉及外包时，需要从外包合同、保密、风险管理等方面对外包过程进行评估。
3、项目实施管理
1. 明确业务需求
由于预付卡种类繁多，业务类型各有特点，而检测规范是面向整个预付卡业务的，因此在检测开始前需要与被检测机构就其业务特点与检测规范进行比对，将其业务对检测规范的适用性与被检测机构进行沟通并达成一致。此外，检测规范中的检测项分为必测项和非必测项两种，也需要和被检测机构明确。
2. 制定实施计划
预付卡检测项目时间较紧，虽然为规范符合性测试，一般情况下的检测时间安排等类似，但由于各被测机构各有特点，因此还需要在检测前进行充分沟通，将相关情况了解清楚，对检测的实施计划进行调整，才能做到心中有数，游刃有余。
3. 沟通和团队协作
预付卡检测项目中的检测项目相对固定，而各被检测机构业务和卡类型又各有特点，这就带来了适用性问题，因此需要在开始前和进行中与被检测机构进行充分沟通，一方面使被检测机构了解检测项目的要求，同时也使检测人员了解被检测机构的业务流程，确定检测规范的适用性。
此外，检测内容虽然分为功能、风控、性能、安全、文档、外包等方面，在实施安排时也一般会由专人负责其中的一个方面，但其实各方面之间存在着联系，例如风控和安全、功能、性能和文档等，因此需要项目成员之间积极沟通、密切配合，这样不但可以提高效率而且可以发现一些新的问题，提高支付服务业务系统的质量。
4、检测技术及方法
在本项目中，我们根据系统的特点，针对功能、风险监控、性能、安全等重点内容，采用了相应的测试方法。
1. 功能测试
功能测试重点采用了场景法、边界值法进行系统功能测试。下面结合具体关键点-异常卡消费测试案例，来分析本系统的测试方法。
常规情况下，支付系统为客户提供正常消费流程的同时，对于黑名单卡、锁定卡等异常卡的消费也要进行控制，对不同类型的异常卡消费设置了不同的处理规则，如表 1 所示。
表1 异常卡列表
此外，对于支付流程中会存在账户余额不足、账户处于异常状态、金额超过交易限额、支付撤销等异常情况，如图 1 所示。
图1 系统消费流程
综合以上情况，整个消费过程包含很多事件，将 POS 签到作为起始事件，签到后的不同操作会进一步触发不同的事件，这些事件在被触发时形成了不同的场景，因此我们可以采用场景法，将正常的消费过程作为基本流，将特殊情况和异常情况的处理过程作为备份流，根据确定的基本流和备份流形成不同场景并设计相应的测试用例，最后通过执行测试用例完成测试。
2. 风险监控测试
风险监控测试重点验证系统对账户及交易风险防范的能力及相关管理制度。鉴于本系统具有独立的风控系统，在测试时主要采用系统验证、文档审核与访谈相结合，考核相关管理制度是否完善，并模拟异常卡、欺诈、大额交易、洗钱、盗用等不同类型的账户管理风险和风险交易，考核系统的风险防范及预警能力。
3. 性能测试
本系统性能测试包括并发测试、大数据量测试及系统自恢复能力测试。测试点较多，数据量大，需求指标要求较高，因此在测试前被检测机构尽量构建与真实环境相同配置、数据规模满足检测规范要求的压力测试环境。测试时采用了自动化性能测试工具，创建压力测试程序、构建压力测试模型，对被测试系统实施自动化压力测试，并对测试过程中系统各关注点进行监控，最后形成压力测试结果分析报告。
4. 安全测评
系统安全性检测针对系统安全不同层面的不同内容，主要采用访谈、现场检查、自动化工具测试、文档审核相结合的方法进行考查。
针对本项目服务器等相关设备较多的特点，测试前充分了解系统部署情况，熟悉网络设备、网络架构以及网络安全产品策略、服务器策略、审计及日志管理方式、应用安全保护设施、数据加密及存储方式等，要求被测方准备好相关制度和文档，并针对不同考查点，制定相应详细的访谈表、检查表及测试表。
5、结束语
通过采用系统的测试体系方法，在较短的时间内圆满的完成了测试项目，并测试过程中发现了系统功能缺失、实现错误、风险管理制度不完善、安全设备不到位、文档与系统存在部分不一致等系列问题，提高了系统测试的质量和效率。
