在我以前的学校，他们把用户密码以明文形式存储在cookie中。

这本身就很可怕，但更糟糕的是，他们把它们储存在饼干里供*.大学。当然，现在所有学生和员工的页面都在university.edu.au/~user这样的网站上。

<?php

var_dump($_COOKIE); // oops.

当我使用Colloquy (IRC)时，密码字段会弹出，但我仍然在主屏幕上集中，所以当我按下enter键时，全世界都知道我的密码，而我却没有意识到。

login.jsp?type=user&redirct=/home.jsp&userid=12345&username=username&password=mypassword

这发生在一个非常大的网站上。当我看到这个的时候，我惊呆了。

曾经看到一扇门有人忘记锁门……

或者，看到一些JavaScript通过Ajax调用执行一些SQL。唯一的问题是，要运行的SQL与页面一起呈现，然后传递给服务…

曾经在一个网站的URL上注意到这一点。

http://www.somewebsite.com/mypage.asp?param1=x&param2=y&admin=0

将最后一个参数更改为admin=1给了我admin权限。如果你要盲目相信用户输入，至少不要让人知道你在这么做!

在我以前工作的店里有个不错的。通往非公共区域的门有小键盘，所以你必须输入pin码才能进入。然而，你只需按#，门就会打开，这是我们喜欢的事实，因为按#比按6位pin码容易得多。