Проверки безопасности это функциональные или нефункциональные тесты?
Что проверяют
Владеете ли вы классификацией видов тестирования и способны ли не выпалить ярлык, а объяснить границу. Вопрос с подвохом: короткий ответ здесь неполный.
Как отвечать
Начните с деления. Функциональное тестирование отвечает на вопрос «что система делает», нефункциональное на вопрос «насколько хорошо она это делает». Безопасность стоит в ряду характеристик качества рядом с производительностью, надёжностью и удобством использования, поэтому проверки безопасности относят к нефункциональным.
Дальше покажите условность границы. Требования к аутентификации и разграничению доступа обычно записаны как функциональные: пользователь без нужной роли не должен открывать чужой заказ. Проверка такого требования выглядит и живёт как функциональный тест, просто цель у неё защитная. А вот устойчивость к инъекциям, к перебору паролей, к подмене токена, утечка лишних полей в ответе и секретов в логах это свойство системы, а не её функция.
Закончите практикой: чек-лист по типовым уязвимостям веб-приложений, ручные проверки прав доступа в регрессе, статический анализ и проверка зависимостей в конвейере сборки, динамическое сканирование на стенде, отдельно пентест силами специалистов. Уместно добавить, что проверки прав дешевле держать на уровне API, минуя интерфейс.
Где спотыкаются
Отвечают ярлыком и замолкают на уточнении «почему». Формулировка про «что» и «насколько хорошо» сразу показывает, что за классификацией стоит понимание, а не заученная таблица.
Сводят безопасность к пентесту и делают вывод, что тестировщика это не касается. Проверка ролей, прав и видимости чужих данных лежит ровно в зоне QA, и заметная часть реальных утечек это именно перепутанные права.
Путают виды тестирования с уровнями и со способом проведения. Модульное, интеграционное и системное это про уровень, ручное и автоматизированное про способ, и к делению на функциональное и нефункциональное они отношения не имеют.