硬體和裝置專用識別碼在資料掃除和原廠重設後仍然存在。我們不應該依靠這些識別碼來產生用來授權或驗證使用者的唯一識別碼。

此外，通用唯一識別碼可能與個人資訊有關連性，因此洩漏通用唯一識別碼會對使用者隱私和安全性造成威脅。

某些架構 (例如 AngularJS) 會限制可能針對其他網站和影像的連結設定的通訊協定。這主要是用來阻止內嵌 JavaScript 執行，可能會導致應用程式內出現其他 Cross-site scripting 弱點。

範例 1：以下內容將 AngularJS 中的預設通訊協定允許清單變更為同時允許影像 HTML 元素，從而允許內嵌 JavaScript。

myModule.config(function($compileProvider){
    $compileProvider.imgSrcSanitizationWhitelist(/^(http(s)?|javascript):.*/);
});

嚴格內容去除 (Strict Contextual Escaping，SCE) 是 AngularJS 應用程式中的一種機制，用於協助保護應用程式免於攻擊者的攻擊。這可以防止跨不同類型漏洞的許多攻擊途徑。其中最顯著的保護機制是防範特定類型的 Cross-site scripting 攻擊。在此應用程式中，此保護機制遭到明確停用。

範例 1：在此範例中，我們在模組上停用 SCE。

myModule.config(function($sceProvider){
  $sceProvider.enabled(false);
});

此程式碼將 DangerousEnableCompression 設定為 true，這會啟用 'permessage-deflate' WebSocket 擴充功能。當您透過加密連線啟用此壓縮時，會使應用程式易於受到 CRIME 和 BREACH 攻擊。

範例 1：以下程式碼將 DangerousEnableCompression 設定為 true。

    app.Run(async context => {
      using var websocket = await context.WebSockets.AcceptWebSocketAsync(new WebSocketAcceptContext() { DangerousEnableCompression = true });
      await websocket.SendAsync(...);
      await websocket.ReceiveAsync(...);
      await websocket.CloseAsync(WebSocketCloseStatus.NormalClosure, null, default);
    });
    

為了執行需特定權限的操作，Microsoft ASP.NET 應用程式能夠模擬目前使用者的安全環境或是模擬呼叫它們的程序。雖然模擬環境能夠提供多種用途 (例如減少必要 authentication 的數量)，但是擁有高度權限的程式會為整個系統的安全帶來不必要的危險。如果攻擊者利用程式中的另一個弱點，而此程式正在另一個安全環境中執行，則攻擊者能夠執行所有未授權的操作，並擁有與之對應的權限。

範例 1：以下程式碼範例說明使用 WindowsIdentity.Impersonate() 方法模擬憑證的典型方式。

using System.Security.Principal;
...

//Get the identity of the current user
IIdentity contextId = HttpContext.Current.User.Identity;
WindowsIdentity userId = (WindowsIdentity)contextId;

//Temporarily impersonate
WindowsImpersonationContext imp = userId.Impersonate();

//Perform tasks using the caller's security context
DoSecuritySensitiveTasks();

//Clean up and restore our old security context
impersonate.Undo();

Example 1 中的程式碼模擬目前使用者的安全環境，並使用此安全環境執行一個需權限的操作。呼叫 DoSecuritySensitiveTasks() 之後，程式碼企圖還原原始的安全環境，但是如果 DoSecuritySensitiveTasks() 拋出一個異常狀況，將永遠不會呼叫 Undo() 方法，而程式也將持續使用模擬的安全環境。

事件驗證是一項 ASP.NET 安全功能，它會驗證回傳 (postback) 要求中的事件控制項，以確保這些控制項與初始頁面載入期間呈現的控制項相同。停用此功能後，攻擊者可能會透過竄改事件控制項進行 Cross-Site Request Forgery 攻擊，從而導致未經授權的存取、Cross-Site Scripting 攻擊等。

範例 1：以下 Web 應用程式組態停用了事件驗證。

...
<system.web>
    ...
    <pages enableEventValidation="false">
    ...
    </pages>
</system.web>

範例 2：以下伺服器頁面指令停用了事件驗證。

<%@ Page ... EnableEventValidation="false" %>

此 ASP.NET Core 應用程式未將敏感性質的控制器或控制器方法設定為只能透過安全連線存取。