在完全进行数据擦除和恢复出厂重置后，硬件和设备特定标识符仍会存在。因此不应依靠此类信息生成用来授权或验证用户的唯一标识符。

不仅如此，由于通用的唯一标识符与个人信息是在一起的，因而泄漏后会给用户隐私和安全带来威胁。

某些框架（例如 AngularJS）将限制可能为指向其他站点和图像的链接设置的协议。这主要是为了阻止内联 JavaScript 运行，因为其运行可能会导致应用程序中出现其他的 cross-site scripting 漏洞。

示例 1：以下代码更改了 AngularJS 中的默认允许列表协议，以允许图像 HTML 元素允许内联 JavaScript。

myModule.config(function($compileProvider){
    $compileProvider.imgSrcSanitizationWhitelist(/^(http(s)?|javascript):.*/);
});

Strict Contextual Escaping (SCE) 是 AngularJS 应用程序中的一种机制，有助于保护应用程序免受攻击者的侵害。这可以防止不同类型漏洞发起的多个攻击矢量。最突出的是防御某些类型的 Cross-Site Scripting 攻击。在此应用程序中，明确禁用此保护机制。

示例 1：在此示例中，我们在一个模块上禁用了 SCE。

myModule.config(function($sceProvider){
  $sceProvider.enabled(false);
});

代码将 DangerousEnableCompression 设置为 true，此操作将启用“permessage-deflate”WebSocket 扩展。当通过加密连接启用此压缩时，会使应用程序遭受 CRIME 和 BREACH 攻击。

示例 1：以下代码将 DangerousEnableCompression 设置为 true：

    app.Run(async context => {
      using var websocket = await context.WebSockets.AcceptWebSocketAsync(new WebSocketAcceptContext() { DangerousEnableCompression = true });
      await websocket.SendAsync(...);
      await websocket.ReceiveAsync(...);
      await websocket.CloseAsync(WebSocketCloseStatus.NormalClosure, null, default);
    });
    

为了执行某些特许的操作，Microsoft ASP.NET 应用程序可能会模拟当前用户的安全上下文环境或调用他们的过程。虽然模拟上下文环境有多种用途，例如减少必要的身份 authentication 尝试总次数，但是一个拥有高度特权的程序会对整个系统的安全造成不必要的危险。如果攻击者利用程序中的另一个弱点，而程序正在另一个安全上下文环境中运行，这就会使攻击者能够执行所有未授权的操作并拥有与之对应的特权。

例 1：下面的代码举例说明了使用 WindowsIdentity.Impersonate() 方法来模拟凭证的一个典型用途。

using System.Security.Principal;
...

//Get the identity of the current user
IIdentity contextId = HttpContext.Current.User.Identity;
WindowsIdentity userId = (WindowsIdentity)contextId;

//Temporarily impersonate
WindowsImpersonationContext imp = userId.Impersonate();

//Perform tasks using the caller's security context
DoSecuritySensitiveTasks();

//Clean up and restore our old security context
impersonate.Undo();

Example 1 中的代码会模拟当前用户的安全上下文，并使用它执行一个特权操作。在调用 DoSecuritySensitiveTasks() 之后，该代码会尝试恢复原始安全上下文，但如果 DoSecuritySensitiveTasks() 抛出一个异常，则永远不会调用 Undo() 方法，此时程序将继续使用模拟的安全上下文。

事件验证是一项 ASP.NET 安全功能，它验证回发请求中的事件控制，以确保这些控制与加载初始页面期间呈现的控制相同。禁用此功能后，攻击者可能会通过篡改事件控制进行 Cross-Site Request Forgery 攻击，从而导致未经授权的访问、Cross-Site Scripting 攻击等。

示例 1：以下 Web 应用程序配置禁用事件验证。

...
<system.web>
    ...
    <pages enableEventValidation="false">
    ...
    </pages>
</system.web>

示例 2：以下服务器页面指令禁用事件验证。

<%@ Page ... EnableEventValidation="false" %>

该 ASP.NET Core 应用程序未将性质敏感的控制器或控制器方法配置为只能通过安全连接进行访问。