防範密碼找回漏洞的相關手段
在密碼找回功能設計時對用戶憑證的驗證次數和頻率進行限制，防止攻擊者對用戶憑證的暴力枚舉攻擊；
對密碼找回的各個環節進行梳理，記錄分析所有交互數據，避免密碼找回憑證等敏感信息直接返回客戶端；
對服務端密碼重置Token的生成算法進行審計，避免使用容易被攻擊者破解的簡單算法；
密碼重置憑證應與賬戶嚴格綁定，並設置有效時間，避免攻擊者通過修改賬戶ID的方式重置他人密碼；
對客戶端傳入的數據要進行嚴格的校驗，手機號，郵箱地址等重要信息應和後臺數據庫中已存儲的信息進行覈對，不應從客戶端傳入的參數中直接取用，避免攻擊者通過篡改傳入數據的方式重置他人密碼；
對用戶註冊，手機郵箱綁定等業務邏輯進行審計，避免攻擊者通過用戶重複註冊和越權綁定等漏洞間接重置他人密碼。
防範越權訪問漏洞的相關手段
平行越權：攻擊者請求操作（增刪改查）某條數據時，Web應用程序沒有判斷該數據的所屬人，或者在判斷數據所屬人時直接從用戶提交的表單參數中獲取（如用戶ID），導致攻擊者可以自行修改參數，操作不屬於自己的數據。
縱向越權：服務器爲鑑定客戶端瀏覽器會話及身份信息，會將用戶身份信息存儲在cookie中，併發送到客戶端存儲。攻擊者通過嘗試修改Cookie中的身份標識爲管理員，欺騙服務器分配管理員權限，，達到垂直越權目的。
對於開發者而言，一定要有安全意識，時刻警惕。
永遠不要相信來自客戶端的輸入，對於可控參數進行嚴格的檢查與過濾；
執行關鍵操作前必須驗證用戶身份，多階段功能的每一步都要驗證用戶身份；
對於直接對象引用，加密資源ID，以防攻擊者對ID進行枚舉；
在前端實現的驗證並不可靠，前端可以驗證用戶的輸入是否合規，要在服務端對請求的數據和當前用戶身份做校驗。檢查提交CRUD請求的操作者與目標對象的權限所有者是否一致，如果不一致則阻斷；
在調用功能之前，驗證當前用戶身份是否有權限調用相關功能（推薦使用過濾器，進行統一權限驗證）；
把屬主，權限，對象，操作的場景抽象成一個統一的框架，在框架內統一實現權限的管理和檢查。
防範在線支付漏洞的相關手段
針對訂單金額篡改的預防措施：將訂單中的商品價格封裝爲碼錶形式，即每個商品擁有一個ID，每個ID對應一個相應的價格。用戶訪問前臺選擇商品並提交，服務器端驗證商品ID，然後計算商品總額並生成訂單。
針對訂單數量篡改的預防措施：在服務器端判斷提交商品ID中數量參數值不低於0，如果低於0，則直接提示錯誤信息，讓客戶修正。 通過數據類型判斷正確後，同時判斷商城庫存對應的商品的剩餘量，如果剩餘量低於商品的購買數量，則直接提示錯誤信息，讓客戶修正。
針對訂單請求重放測試的預防措施：無論支付成功還是失敗，使用的訂單編號必須唯一，並且永久記錄訂單編號，不許二次使用。
針對其他參數（如運費）干擾測試的預防措施：在服務器端判斷訂單中運費參數值不低於0，如運費參數值低於0，則直接提示錯誤信息。
防範賬號泄露的措施
-
覈查數據庫中的賬號與密碼存儲方式，自行加密用戶敏感數據，嚴格限制數據庫的訪問條件，禁止外部連接數據庫。
-
採用HTTPS協議對賬戶認證過程實現加密封裝，確保身份認證過程無法被竊取。
-
加強網絡信息安全意識，網絡管理人員對內部員工進行安全意識培訓，禁止使用弱口令，禁止公開個人賬號密碼，定期修改密碼。
-
使用數字證書認證，數字證書是通過運用對稱和非對稱密碼體制等密碼技術建立起一個嚴密的身份認證系統，從而保證信息除發送方和接收方外不被其他人竊取。
-
瞭解互聯網賬號泄露事件，存在賬號泄露事件時第一時間通知客戶修改個人賬號和密碼，避免撞庫攻擊。