開發人員必須權衡好安全和功能之間的關系，這要看某種攻擊得逞的可能性有多大、這個系統有多重要。

　　開發人員可以運用諸多基本原則來增強Web應用程序的安全性。主要有以下三條原則:

　　盡量減小權限

　　對訪問資源的賬戶進行配置時，始終要把這些賬戶的權限限制在需要的最小權限。

　　千萬不要相信用戶的輸入，驗證任何輸入的內容

　　這對Web應用程序來說尤為重要。確保應用程序并不依賴客戶端的驗證。在服務器上應當重復所有的檢查工作，因為要是沒有約束條件，比較容易構建網頁副本，有可能導致破壞性代碼在運行，或者導致引起系統崩潰的拒絕服務（DoS）攻擊。

　　有節制地使用錯誤消息

　　雖然在開發程序時，詳細的錯誤消息很有幫助，但它們對惡意用戶來說同樣是寶貴的信息來源。所以指定函數名這類細節沒有太大的意義。這樣的細節記錄在另一個日志中比較好。

　　下面幾個示例介紹了沒有經過驗證的用戶輸入如何被壞人利用的具體情況，并且介紹了避免這些問題的建議。

　　SQL注入

　　如果允許任意的SQL命令執行，就會出現SQL注入（SQL injection）。當SQL語句在代碼里面動態構建時，通常會出現這種情況。

　　以下面用C#編寫的代碼為例，該代碼試圖檢查用戶名/密碼組合是否正確:

　　string username = txtUsername.Text;

　　string password = txtPassword.Text;

　　string SQL = "SELECT * FROM tblUsers

　　WHERE username = '"+ username +"'

　　AND password = '"+ password + "';";

　　//執行SQL

　　用戶名和密碼從服務器端的兩個文本框獲取,并且SQL語句被創建，然后該語句執行。如果沒有記錄返回，那么表明用戶輸入的詳細資料不正確，或者沒有經過注冊; 否則用戶可以進入到下一個階段。

　　如果用戶在兩個文本框里面輸入了Joe和mypassword，那么SQL語句會是:

　　SELECT * FROM tblUsers

　　WHERE username = 'Joe'

　　AND password = 'mypassword';

　　這正是開發人員的意圖。不過要是用戶往密碼文本框里面輸入: ' OR 'a' = 'a，SQL就會是:

　　SELECT * FROM tblUsers

　　WHERE username = 'Joe'

　　AND password = ''

　　OR 'a' = 'a';

　　現在，密碼不重要了，因為'a'='a'總是正確的。如果用來連接到數據庫的賬戶有權刪除數據而不是僅僅有權讀取數據，就會出現更糟糕的情形。假設用戶往密碼文本框里面輸入: '; DELETE FROM tblUsers WHERE 'a' = 'a'。這會得出以下的語句:

　　SELECT * FROM tblUsers

　　WHERE username = 'Joe'

　　AND password = '';

　　DELETE FROM tblUsers

　　WHERE 'a' = 'a';

　　現在，整個用戶表就會被清空。

　　防止這類問題主要有兩種辦法。一是，可以使用存儲過程（stored procedure）來執行用戶驗證步驟。設置參數值時，避免使用單引號等特殊符號，因而不可能為WHERE語句添加額外的斷言（predicate），也不會運行多個SQL語句。譬如說，可以構建像下面這樣的存儲過程，接受兩個輸入參數后，返回表明用戶是不是合法用戶的第三個參數:

　　CREATE PROCEDURE spCheckUser

　　(

　　@Username VARCHAR(20),

　　@Password VARCHAR(20),

　　@IsValid BIT OUTPUT

　　)

　　AS

　　DECLARE @UserCount INT

　　SELECT @UserCount = COUNT(*)

　　FROM tblUsers

　　WHERE Username = @Username

　　AND Password = @Password

　　IF @UserCount = 1

　　SET @IsValid = 1

　　ELSE

　　SET @IsValid = 0