Come posso proteggere il mio sito escludendo XSS e Sql injection?

Ci sono molte cose che possono andare storte con un'applicazione web. Oltre a XSS e SQLi, c'è:

1. CSRF - Falsificazione di richieste tra siti
2. LFI/RFI - Inclusione file locale/Inclusione file remota causata da include() , require() ...
3. Iniezione CRLF in mail()
4. Potenziamento globale dello spazio dei nomi variabile comunemente causato da register_globals ,extract() , import_request_variables()
5. Attraversamento directory:fopen() , file_get_contents() , file_put_conents()
6. Esecuzione di codice in remoto con eval() o preg_replace() con /e
7. Esecuzione di codice in remoto con passthru() , exec() , system() e ``

Esiste un'intera famiglia di vulnerabilità relative a Autenticazione interrotta e gestione delle sessioni che fa parte della OWASP Top 10 che ogni programmatore di app web deve leggi.

Uno studio in scarlatto è una buona carta nera che esamina molte di queste vulnerabilità che ho elencato.

Tuttavia, ci sono anche strane vulnerabilità come questa in Wordpress . L'autorità definitiva su ciò che è una vulnerabilità è il sistema CWE che classifica CENTINAIA di vulnerabilità, molte delle quali possono interessare le applicazioni web.