1）现在的Web应用程序基本采用先注册后登入的方式。因此，必须测试有效和无效的用户名和密码，要注意到是否区分大小写，可以试多少次的限制，是否可以不登入而直接浏览某个页面等
2）Web应用程序系统是否有超时限制，也就是说，用户在登入后在一定时间内（例如15分钟）没有单击任何页面，是否要重新登入才能正常使用。
3）为了保证web应用系统的安全性，日志文件是至要关键。需要测试相关信息是否要写进日志文件、是否可追踪。
4）当使用加密算法时，还要测试加密是否正确，检查信息的完全性。
5）服务器的脚本常常构成脚本漏洞，这些漏洞又常常被黑客利用。所以还要测试没有经过授权就不能在服务器端放置和编辑脚本问题。