Tak jak w temacie. Jak testować napisaną aplikację w PHP + z jakąś bazą w MySQL. Głównie mi chodzi o mierzenie wydajności (a jeśli się da też w jakiś sposób bezpieczeństwo, to też bezpieczeństwo). Czy robić to na localhostcie czy już na serwerze? (pewno na serwerze, gdzie skrypt będzie siedział ).
I czy jest możliwość testowania aplikacji tak, aby przechodziła krok po kroku np proces rejestracji?

Jeśli chcesz zmierzyć wydajność samej aplikacji do celów porównawczych, wystarczy Ci domowy komputer, bylebyś miał testowany w identycznych warunkach jakiś skrypt będący punktem odniesienia. Na serwerze też oczywiście można, choć tu trzeba uważać na ograniczenia hostingu .

Ad. 2 -> tak, jest. Są to tak zwane testy funkcjonalne. Można je przeprowadzać automatyczne przy pomocy kombinacji systemów PHPUnit + Selenium.

A w jaki sposób testować wydajność? Może jakiś przykład?

Jeżeli chcesz zmierzyć tylko czas wykonywania skryptu, to zrób sobie klasę:
class Test{
private $time;
public function __construct(){
$this -> time = microtime();
}
public function __destruct(){
echo 'skrypt wykonany w ciągu '.(microtime()-$this -> time).' ms';
}
}
$test = new Test();
daj ją na początku skryptu.

Grand93 - powinno być tam chyba microtime(true) inaczej mu wywali string z sekundami i mikrosekundami jako ułamek dziesiętny, ale osobno po spacji. Swoją droga warto z czegoś tak prostego robić klasę i obiekt?

[PHP] pobierz, plaintext 
$start = microtime(true);
 
// cały kod php któy testujesz
 
$end = microtime(true);
 
//wyświetlenie różnicy w mikrosekundach
 
echo $end-$start;
[PHP] pobierz, plaintext 

Jak zrobi na klasie to nie będzie musiał pamiętać o daniu echo na koniec

Twój sposób( Luneth ) jest prostszy i szybszy.

Tak właśnie robiłem, np dla zapytań MySQl , ale czasem zdarzały mi się wartości ujemne tego odejmowania. Ale może dlatego, że dawałem microtime bez true?

Musiałbyś mieć naprawdę baaaardzo mocny sprzęt by uzyskać 0 w wyniku odejmowania wartości zwróconych przez dwa wywołania tej funkcji:

[PHP] pobierz, plaintext 
$a = microtime(true);
$b = microtime(erue);
 
echo $b - $a;
[PHP] pobierz, plaintext 

Wynik ujemny jest niemożliwy. I tak... powodem było brak owego TRUE.

Do testowania wydajności aplikacji dużo lepiej jest wybrać narzędzia typu Apache Benchmark, które pozwalają na dużo bardziej realne odwzorowanie obciążenia.

Jakiś automatycznych/magicznych testów bezpieczeństwa nie ma, z tego co mi wiadomo - tutaj musisz zadbać sam.

Jest możliwość testowania bezpieczeństwa pod względem ataków XSS.
Było o tym ostatnio na niebezpieczniku : http://niebezpiecznik.pl/post/xsser-sprawd...podatna-na-xss/

w testowaniu pod względem ataków pomoże nieco:
http://www.uw-team.org/videoarty_security.html
niektóre porady są banalne, ale niektóre wiele mi pomogły