>>253
一番多い問題がエスケープ漏れで、これはセキュリティホール以前にメタ文字が使えないっていうバグ。
各部分ではデータをどう変換して渡すべきかを正しく意識すればよい。
HTMLをHTMLに書き出すなら変換は要らないし、テキストをHTMLに書き出すなら文字参照への変換が要る。

データとしての有効性とかも同じで、
「投稿の本文が空文字列なら削除済みの投稿とする」のような
「0文字の空文字列は無効値」って特殊なルールを設定した場合は
通常の投稿の段階で本文0文字の投稿を拒否しないと勝手に削除済みになるバグとかが起きる。
この場合「空文字列は無効値」なんてオレオレルールを設定した奴がちゃんとそれを周知しないから起きるバグだな。
お前の事だぞ>>257。パスワード0文字とパスワード未設定は同値じゃねぇよ馬鹿。


次点はセッション管理。
別サイトから投稿動作のページだけ呼ばれても問題ないようにセッション情報やワンタイムキーできっちり状態遷移を管理する事。