依預設，Flash 應用程式需遵守相同來源策略 (Same Origin Policy)，它可以確保只有在兩個 SWF 應用程式都來自相同網域時，才可以存取彼此的資料。Adobe Flash 允許開發人員在程式上或透過 crossdomain.xml 組態設定檔案的適當設定來修改策略。從 Flash Player 9,0,124,0 開始，Adobe 也引進了定義 Flash Player 可以在網域間傳送哪些自訂表頭的功能。但是，定義這些設定時應特別小心，因為將過度允許的自訂表頭策略和過度允許的跨網域策略一起套用時，會允許惡意應用程式將其選擇的表頭傳送到目標應用程式，可能會導致多種攻擊，或在不知道如何處理所接收之表頭的應用程式執行中造成錯誤。

範例 1：以下配置顯示了使用萬用字元指定 Flash Player 可以在網域間傳送哪些標頭。

  <cross-domain-policy>
    <allow-http-request-headers-from domain="*" headers="*"/>
  </cross-domain-policy>

使用 * 做為 headers 屬性的值，表示任何表頭都會在網域間傳送。

依預設，Flash 應用程式需遵守相同來源策略 (Same Origin Policy)，它可以確保只有在兩個 SWF 應用程式都來自相同網域時，才可以存取彼此的資料。Adobe Flash 允許開發人員在程式上或透過 crossdomain.xml 組態設定檔案的適當設定來修改策略。但是，決定誰可以影響設定時應特別小心，因為過度允許的跨網域策略會允許惡意應用程式以不適當的方式與受害者應用程式通訊，導致欺騙、資料遭竊取、傳遞和其他攻擊。Policy restrictions bypass 弱點會在以下情況中出現：

1. 資料從不可信賴的來源進入應用程式。

2. 資料用來載入或修改跨網域策略設定。
範例 1：以下程式碼對載入的 SWF 檔案使用其中一個參數的值，做為載入跨網域策略檔案的來源 URL。

   ...
   var params:Object = LoaderInfo(this.root.loaderInfo).parameters;
   var url:String = String(params["url"]);
   flash.system.Security.loadPolicyFile(url);
   ...

範例 2：以下程式碼對載入的 SWF 檔案使用其中一個參數的值，以定義可信任網域的清單。

   ...
   var params:Object = LoaderInfo(this.root.loaderInfo).parameters;
   var domain:String = String(params["domain"]);
   flash.system.Security.allowDomain(domain);
   ...

從 Flash Player 7 開始，透過 HTTP 載入的 SWF 應用程式不允許存取預設透過 HTTPS 載入的 SWF 應用程式。Adobe Flash 允許開發人員在程式上或透過 crossdomain.xml 組態設定檔案的適當設定來修改此限制。但是，定義這些設定時應特別小心，因為 HTTP 載入的 SWF 應用程式容易遭到 man-in-the-middle 攻擊，因此不應該受信賴。

範例：以下程式碼會呼叫 allowInsecureDomain()，它會關閉以下限制：防止 HTTP 載入的 SWF 應用程式存取 HTTPS 載入之 SWF 應用程式的資料。

   flash.system.Security.allowInsecureDomain("*");

開發作業一般會為了除錯或測試目而增加一些「後門」程式碼，這些程式碼不會隨應用程式一起提供或部署。當這類除錯程式碼意外地留在應用程式中時，會導致應用程式開放在未預期的互動模式。這些後門入口點很容易造成安全問題，因為在設計或者測試期間，並沒有將它們考慮在內，並且不會出現在應用程式設計中的操作環境中。

GraphiQL 是一種瀏覽器內工具，它利用 GraphQL 結構描述自我檢查機制為 GraphQL API 開發和測試提供圖形介面。GraphiQL 可協助使用者探索 GraphQL 結構描述以及撰寫和執行 GraphQL 查詢。

不建議允許存取生產階段中的 GraphiQL，因為透過 GraphiQL 啟用 GraphQL 結構描述的自我檢查，可能會使您的整體安全態勢面臨風險。攻擊者可能使用 GraphiQL 和自我檢查從 GraphQL 結構描述中取得實作詳情，進而使他們能夠執行更具目標性的攻擊。GraphQL 結構描述可能會洩漏資訊，例如內部使用的欄位、描述和過時說明，這些資訊可能非供公開使用。

範例 1：以下程式碼將初始化一個預設啟用 GraphiQL 的 GraphQL.js 端點：

app.use('/graphql', graphqlHTTP({
    schema
}));

GraphQL 自我檢查功能讓任何人都可以查詢 GraphQL 伺服器以取得目前結構描述的相關資訊。當事人可以發出 GraphQL 自我檢查查詢來擷取結構描述的可用操作、資料類型、欄位和文件的完整檢視。

GraphQL 自我檢查在開發和共用有關 GraphQL API 的資訊的環境中提供重要的公用程式。自我檢查是一個強大的 GraphQL 功能，可以促進與各種工具的整合。例如，IDE 可以利用結構描述自我檢查來提供用於開發和測試 GraphQL API 的增強功能。

但是，允許任何人在生產階段中查詢您的 GraphQL 結構描述，可能會使您的整體安全態勢面臨風險。攻擊者可能使用自我檢查從 GraphQL 結構描述中取得實作詳情，進而使他們能夠執行更具目標性的攻擊。GraphQL 結構描述可能會洩漏資訊，例如內部使用的欄位、描述和過時說明，這些資訊可能非供公開使用。

範例 1：以下程式碼將初始化一個預設啟用結構描述自我檢查的 Hot Chocolate GraphQL 端點：

    services
        .AddGraphQLServer()
        .AddQueryType<Query>()
        .AddMutationType<Mutation>();
    

包含另外一個網站中可執行的內容是有風險的。這樣會導致您網站的安全性與另一個網站息息相關。

範例： 請思考以下 script 標籤。

  <script src="http://www.example.com/js/fancyWidget.js"></script>

如果這個標籤出現在 www.example.com 以外的網站上，則該網站依賴 www.example.com 提供正確且無惡意的程式碼。如果攻擊者能危害 www.example.com，他們就能修改 fancyWidget.js 的內容來破壞網站的安全性。例如，他們可以新增程式碼至 fancyWidget.js 來竊取使用者的機密資料。