默认情况下，Amazon RDS 实例未加密。这会使数据面临潜在的盗用和未经授权的访问。

"Resources": {
    "RDSDBExample": {
        "Type": "AWS::RDS::DBInstance",
        "Properties": {
            "StorageEncrypted": false,
            "DBName": "Test DB",
            "DBInstanceClass": "db.m4.large"
        }
    }
}

默认情况下，Amazon Redshift 群集处于未加密状态。这会使数据面临未经授权的访问和潜在的盗用。

示例 1：以下模板定义了未启用加密的 Redshift 群集。

"Resources": {
    "RedshiftClusterTest": {
        "Type": "AWS::Redshift::Cluster",
        "Properties": {
            "DBName": "mydb",
            "MasterUsername": "master",
            "MasterUserPassword": "masterPass",
            "NodeType": "ds2.xlarge",
            "ClusterType": "single-node",
        }
    }

创建 Amazon S3 存储桶时未启用服务器端加密。加密通过使没有适当凭据的任何人无法读取数据来降低数据泄露风险。因此，静态加密是一种用来满足某些行业和政府合规性要求（例如 GDPR、HIPAA 和 PCI）的措施。

默认情况下，SNS 主题不会进行静态加密。这可能会将数据暴露给未经授权的查看者。

示例 1：以下示例模板由于没有定义 AWS KMS 密钥标识符而无法对 SNS 主题进行加密。

{
    "AWSTemplateFormatVersion": "2010-09-09",
    "Description": "My SNS topic",
    "Resources": {
        "MySNSTopic": {
            "Type": "AWS::SNS::Topic",
            "Properties": {
                "Subscription": [
                    {
                        "Endpoint": "MySNSEndpoint",
                        "Protocol": "sqs"
                    }
                ],
                "TopicName": "MyTopic"
            }
        }
    }
}

基于 Touch ID 的身份验证可以使用密钥链服务实现，即在密钥链中存储项目，并设置一项访问控制来要求用户需在日后使用其指纹检索该项目。以下策略可用于定义如何使用其指纹对用户进行验证：

- kSecAccessControlUserPresence：限制为通过 Touch ID 或密码访问。不要求 Touch ID 可用或已注册。添加或删除指纹后，仍可通过 Touch ID 访问项目。
- kSecAccessControlTouchIDAny：限制为通过 Touch ID 使用任何已注册的指纹访问。添加或删除指纹后，项目不会失效。
- kSecAccessControlTouchIDCurrentSet：限制为通过 Touch ID 使用当前已注册的指纹访问。添加或删除指纹后，项目将会失效。

使用 Touch ID 时，应使用 kSecAccessControlTouchIDCurrentSet 属性阻止以后添加指纹或删除现有指纹。

示例 1：以下代码使用 kSecAccessControlTouchIDAny 限制，该项限制允许任何以后注册的指纹对密钥链项目解除锁定：

    ...
    SecAccessControlRef sacRef = SecAccessControlCreateWithFlags(kCFAllocatorDefault,
                 kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly,
                 kSecAccessControlTouchIDCurrentSet, 
                 nil);
    NSMutableDictionary *dict = [NSMutableDictionary dictionary];
    [dict setObject:(__bridge id)kSecClassGenericPassword forKey:(__bridge id) kSecClass];
    [dict setObject:account forKey:(__bridge id)kSecAttrAccount];
    [dict setObject:service forKey:(__bridge id) kSecAttrService];
    [dict setObject:token forKey:(__bridge id)kSecValueData];
    ...
    [dict setObject:sacRef forKey:(__bridge id)kSecAttrAccessControl];
    [dict setObject:@"Please authenticate using the Touch ID sensor." forKey:(__bridge id)kSecUseOperationPrompt];

    dispatch_async(dispatch_get_global_queue(DISPATCH_QUEUE_PRIORITY_DEFAULT, 0), ^{
        OSStatus status = SecItemAdd((__bridge CFDictionaryRef)dict, nil);
    });
    ...

在实践中，人们往往为了达到调试和测试代码的目的而输出某些变量的值，同时附带的还有一些本不应提供或保留在正式部署的应用系统中的代码。当这种类型的调试代码意外地留在应用程序中，应用程序可能会在无意间将其泄漏给攻击者。但并不是所有的调试指令都会泄漏敏感或私密信息。然而，调试指令的出现通常意味着附近的代码已被忽略，而且可能处在一种不受维护的状态。

在 ColdFusion 中，遗忘调试代码最常见的一例是遗忘 <cfdump> 标签。虽然在软件开发过程中允许使用 <cfdump> 标签，但是作为开发者，对代码负责是 Web 应用程序开发的重要部分，所以应该仔细考虑是否能够使用每一个 <cfdump> 标签。

当应用程序出现以下情况时，将出现 cross-frame scripting 漏洞：

1. 允许自身包含在 iframe 内。
2. 未能通过 X-Frame-Options 标头指定组帧策略。
3. 使用不力保护，如基于 JavaScript 的 frame busting 逻辑。

跨框架脚本漏洞经常为 clickjacking 攻击奠定基础，攻击者可利用其执行跨站请求伪造或钓鱼攻击。