Wie kann ich meine Website mit Ausnahme von XSS und Sql-Injection schützen?

Bei einer Webanwendung kann viel schiefgehen. Außer XSS und SQLi gibt es:

1. CSRF - Cross-Site-Request-Fälschung
2. LFI/RFI - Lokales Datei-Include/Remote-Datei-Include verursacht durch include() , require() ...
3. CRLF-Einfügung in mail()
4. Global Variable Namespace Poising wird häufig durch register_globals verursacht ,extract() , import_request_variables()
5. Verzeichnisdurchlauf:fopen() , file_get_contents() , file_put_conents()
6. Remote-Code-Ausführung mit eval() oder preg_replace() mit /e
7. Remote-Code-Ausführung mit passthru() , exec() , system() und ``

Es gibt eine ganze Familie von Schwachstellen bezüglich Broken Authentication and Session Management das zu den OWASP Top 10 gehört die jeder Web-App-Programmierer muss lesen.

Eine Studie in Scharlachrot ist ein gutes schwarzes Papier, das viele dieser Schwachstellen behandelt, die ich aufgelistet habe.

Allerdings gibt es auch seltsame Schwachstellen wie diese in Wordpress . Die definitive Autorität darüber, was eine Schwachstelle ist, ist das CWE-System was HUNDERTE klassifiziert von Sicherheitslücken, von denen viele Webanwendungen betreffen können.