儘管 Java 語言規範中允許外部終結器呼叫物件的 finalize() 方法，但是這麼做不是一個好辦法。例如，直接呼叫 finalize() 表示會不只一次呼叫 finalize() 方法：第一次將會直接呼叫，而最後一次呼叫會在物件回收之後執行。

範例 1： 下列的程式碼片段直接呼叫 finalize()：

// time to clean up
widget.finalize();

React 中的 dangerouslySetInnerHTML 屬性可取代在瀏覽器 DOM 中使用 innerHTML，但 API 已重新命名以傳達使用它的潛在危險。通常，從程式碼設定 HTML 是有風險的，因為它很容易在無意中使您的使用者遭受 Cross-Site Scripting (XSS) 攻擊。
範例 1：以下程式碼從程式碼將 HTML 設為 dangerouslySetInnerHTML 屬性：

      function MyComponent(data) {
        return (
          <div
            dangerouslySetInnerHTML={{__html: data.innerHTML}}
          />
        );
      }
    

一般而言，Direct Open SQL 寫入操作 (插入/更新/修改/刪除) 是不良的作法，應予以避免。這些更新會破壞系統的完整性與安全性，因此應禁止。



Direct Open SQL 寫入操作還容易發生錯誤，可能導致非預期的系統行為。在 SAP 中，需要小心的一些問題包括：

- SAP 建議使用「更新統合」技術確保 SAP LUW (工作的邏輯單元) 中可能跨多個資料庫 LUW 的資料完整性。直接修改表格項目而不更新統合可能使 SAP 交易處於不一致的狀態。

- Direct Open SQL 寫入操作只設定資料庫級別的鎖定，而略過 SAP 應用程式鎖定。這可能導致鎖死和資料損壞。

- Direct Open SQL 寫入操作略過應用程式內的 SAP 授權檢查。

- 在使用標準機制寫入表格項目、編輯檢查、稽核路徑時，相依的更新 (例如變更文件) 全部會正確執行。而使用 Direct Open SQL 寫入操作時不是這樣。

在啟動程式權限或 AUTHID CURRENT_USER 封包中，識別碼會先針對目前使用者的結構進行解析。如果程式碼的定義碼無法明確說明識別碼屬於哪一種結構，將會造成意外的行為。

範例：下列程式碼會在權限表格中查詢使用者，檢查使用者是否擁有執行操作的權限。大多數使用者只能讀取 SYS.PERMISSIONS，無法修改已定義的權限。

CREATE or REPLACE FUNCTION check_permissions(
  p_name IN VARCHAR2, p_action IN VARCHAR2)
  RETURN BOOLEAN
  AUTHID CURRENT_USER
IS
  r_count NUMBER;
  perm BOOLEAN := FALSE;
BEGIN
  SELECT count(*) INTO r_count FROM PERMISSIONS
    WHERE name = p_name AND action = p_action;
  IF r_count > 0 THEN
    perm := TRUE;
  END IF;
  RETURN perm;
END check_permissions

如果使用者呼叫 check_permissions 函數，並於所在結構中定義一個 PERMISSIONS 表格，資料庫將會解析識別碼以參照本機表格。接著，使用者會擁有新表格的寫入權限，並可修改表格以取得原本沒有的權限。

Apache Struts 2.x 包括新的 Aware 介面，開發人員可藉此將對映 (含相關執行階段資訊) 輕鬆注入其動作程式碼。這些介面包括：org.apache.struts2.interceptor.ApplicationtAware、org.apache.struts2.interceptor.SessionAware 和 org.apache.struts2.interceptor.RequestAware。為了將其中任何資料對映注入其動作程式碼，開發人員需要實作介面中指定的 Setter (例如：SessionAware 介面的 setSession)：

public class VulnerableAction extends ActionSupport implements SessionAware {

  protected Map<String, Object> session;

  @Override
  public void setSession(Map<String, Object> session) {
    this.session = session;
  }

另一方面，Struts 2.x 會透過動作中定義的公用存取子，將來自使用者的要求資料自動繫結至動作的屬性。由於 Aware 介面需要實作 Aware 介面中定義的公用 Setter，因此該 Setter 也會自動連結至符合 Aware 介面 Setter 名稱的任意要求參數，遠端攻擊者可能會藉此修改實作受影響介面的應用程式的參數，以修改執行階段資料值，如 SessionAware、RequestAware、ApplicationAware 介面所示。

以下 URL 將允許攻擊者覆寫階段作業對應中的「roles」屬性。這可能會允許攻擊者成為管理員。

http://server/VulnerableAction?session.roles=admin


雖然這些介面僅需要實作 Setter 存取子，但是若同時已實作對應的 Getter，則對這些對應集合的變更將在階段作業範圍內生效，而不僅僅是對目前要求的範圍產生影響。

Struts 2 引入了稱為「動態方法呼叫」的功能，動作可藉此洩漏除 execute() 之外的方法。! (驚嘆號) 字元或 method: 字首可用於動作 URL 中，在啟用「動態方法呼叫」時呼叫動作中的任何公用方法。未發覺此功能的開發人員會不慎向攻擊者洩漏內部業務邏輯。

例如，若動作包含稱為 getUserPassword() 的公用方法，而該方法不使用任何引數，且無法停用「動態方法呼叫」功能，則攻擊者可以利用這一點造訪以下 URL： http://server/app/recoverpassword!getPassword.action

Apache Struts 2.x 包括新的 Aware 介面，開發人員可藉此將對映 (含相關執行階段資訊) 輕鬆注入其動作程式碼。這些介面包括：org.apache.struts2.interceptor.ApplicationtAware、org.apache.struts2.interceptor.SessionAware 和 org.apache.struts2.interceptor.RequestAware。為了將其中任何資料對映注入其動作程式碼，開發人員需要實作介面中指定的 Setter (例如：SessionAware 介面的 setSession)：

public class VulnerableAction extends ActionSupport implements SessionAware {

  protected Map<String, Object> session;

  @Override
  public void setSession(Map<String, Object> session) {
    this.session = session;
  }

另一方面，Struts 2.x 會透過動作中定義的公用存取子，將來自使用者的要求資料自動繫結至動作的屬性。由於 Aware 介面需要實作 Aware 介面中定義的公用 Setter，因此該 Setter 也會自動連結至符合 Aware 介面 Setter 名稱的任意要求參數，遠端攻擊者可能會藉此修改實作受影響介面的應用程式的參數，以修改執行階段資料值，如 SessionAware、RequestAware、ApplicationAware 介面所示。

以下 URL 將允許攻擊者覆寫階段作業對應中的「roles」屬性。這可能會允許攻擊者成為管理員。

http://server/VulnerableAction?session.roles=admin


雖然這些介面僅需要實作 Setter 存取子，但是若同時已實作對應的 Getter，則對這些對應集合的變更將在階段作業範圍內生效，而不僅僅是對目前要求的範圍產生影響。