输入验证必须放在服务端执行，这是铁律。前端验证只是为了提升用户体验，根本防不住恶意攻击。举个例子，用户注册时邮箱格式校验：
但要注意，正则表达式也可能被精心构造的输入绕过，比如通过超长字符串触发ReDoS攻击。建议对关键参数还要限制长度和字符集。
密码存储方面，至今还能见到用MD5直接加密的案例。现在GPU算力这么强，单纯的哈希已经毫无安全性可言。正确的做法是：
BCrypt内置了盐值机制，能有效抵御彩虹表攻击。工作因子建议设置在12以上，兼顾安全性和性能。
SQL注入虽然老生常谈，但在动态拼接查询时仍经常出现。看这个典型错误：
正确的参数化查询应该这样写：
注意有些ORM框架如果使用不当，仍然可能存在注入漏洞。比如MyBatis的${}拼接就要慎用。
文件上传功能是重灾区。除了校验文件类型，还要注意：
反序列化漏洞经常被忽视。不要直接反序列化不可信的数据：
权限检查要放在业务逻辑层，而不是依赖前端控制。推荐使用注解方式：
对于Web应用，还要注意设置安全响应头：
日志记录也要注意过滤敏感信息。比如身份证号、手机号等需要脱敏：
最后提醒，所有第三方组件都要定期升级。曾经某个流行库的漏洞导致大量应用被攻破，这种教训实在太深刻了。建议使用Maven等工具的依赖检查功能，及时更新存在安全漏洞的组件。
安全不是一次性工作，而是需要贯穿整个开发生命周期。代码审查时要把安全作为重要检查项，定期进行渗透测试，才能构建真正可靠的应用系统。