```html

下列哪一测试关键点不属于常见web漏洞

上周帮一个刚转安全测试的同事看报告，他列了五个测试项：SQL注入、测试常XSS、关键CSRF、点不洞文件上传漏洞、属于服务器CPU占用率异常波动。下列他问我最后一个算不算web漏洞测试的测试常关键点。我说你把这行删了，关键不然评审会上会被怼。点不洞

这其实是属于个挺典型的混淆——把性能监控指标和安全漏洞测试点搅在一起。常见web漏洞的下列测试关键点，核心是测试常围绕“输入未过滤”、“权限绕过”、关键“逻辑缺陷”这几类。点不洞CPU占用率波动，属于那是运维监控或者性能测试的活儿。它可能间接反映某些问题，比如正则表达式拒绝服务（ReDoS）会打高CPU，但ReDoS本身才是漏洞，CPU波动只是现象。你不能把现象当测试点写进漏洞清单。

那常见web漏洞的测试关键点到底有哪些？我按自己的经验列一下，不按标准教材那种一二三四，想到哪说到哪。

注入类：SQL注入、命令注入、LDAP注入。测的是用户输入有没有被当成代码执行。关键点在于'、;、|这些特殊字符的过滤和转义。XSS分存储型、反射型、DOM型，测的是脚本能不能在别人浏览器里跑。CSRF测的是能不能伪造用户身份发请求。文件上传漏洞测的是能不能传个.php或者.jsp上去，然后访问执行。文件包含漏洞，本地和远程，测的是?page=../../etc/passwd这种路径穿越。SSRF测的是服务器能不能被诱导去访问内网资源。XXE测的是XML解析器能不能读本地文件。反序列化漏洞，Java、PHP、Python各有各的坑。还有越权，水平越权改个ID看别人订单，垂直越权普通用户访问管理员接口。

这些测试点的共同特征：它们都直接关联到“攻击者能做什么”。CPU占用率、内存泄漏、磁盘IO高——这些是“系统表现成什么样”。你测安全，要盯着攻击面，不是盯着资源监控面板。

有人会抬杠：那拒绝服务攻击（DoS）算不算web漏洞？算，但DoS测试的关键点是“能不能通过一个请求让服务不可用”，比如?id=1' AND (SELECT 1 FROM (SELECT SLEEP(10))a)--这种时间盲注导致的资源耗尽。你测的是那个恶意输入，不是CPU曲线。CPU曲线只是验证漏洞存在的一个旁证。把旁证当测试点，就像把“体温升高”当成“感冒病毒”一样——逻辑上倒置了。

再往深了说，很多新手会把“服务器返回了500错误”当成漏洞。500错误可能是代码bug，可能是配置问题，也可能是漏洞触发的。但你不能说“500错误”是漏洞测试点。你得看是什么输入导致的500，那个输入路径才是测试点。同理，CPU波动、响应时间变长、日志里出现异常堆栈——这些都是线索，不是漏洞本身。

回到标题那个问题：下列哪一测试关键点不属于常见web漏洞？如果选项里有“服务器CPU占用率异常波动”、“数据库连接数突增”、“页面加载时间超过3秒”这类，直接排除。它们属于性能测试或可用性测试的范畴。安全测试的关键点永远围绕：输入验证、身份认证、会话管理、权限控制、加密存储、日志审计这些维度。你写测试用例的时候，每个用例都应该能回答：“我模拟了哪个攻击者的哪个动作？预期防御机制应该怎么拦截？”

最后说个我自己的习惯：每次写漏洞报告，如果某个测试项我没办法用“攻击者视角”描述清楚，我就把它挪到“其他观察”里，不放进漏洞列表。这样评审的时候没人跟你扯皮。CPU高？写进“其他观察：疑似性能瓶颈，建议运维排查”。别硬塞进安全漏洞里凑数。