完全安全的系统实际上是不可能的，因此安全专业人员经常采用的方法是平衡风险和可用性。如果用户提交的每个变量都需要两种生物识别验证（例如视网膜扫描和指纹），那么您将拥有极高的问责制。但这也将需要半小时才能填写一个相当复杂的表格，这将倾向于鼓励用户寻找绕过安全性的方法。
最好的安全性通常足够 unobtrusive 以满足要求，而不会阻止用户完成工作，或给代码作者带来过多的复杂性。事实上，一些安全攻击仅仅是利用这种过度构建的安全性，而这种安全性往往会随着时间的推移而逐渐消失。
一句值得记住的话：一个系统只与其链条中最薄弱的环节一样好。如果所有交易都基于时间、地点、交易类型等进行大量记录，但用户仅根据单个 cookie 进行验证，那么将用户与交易日志联系起来的有效性将大大降低。
在测试时，请记住，即使是最简单的页面，您也无法测试所有可能性。您可能期望的输入将与不满意的员工、拥有数月时间的破解者或在键盘上走过的家猫给出的输入完全无关。这就是为什么最好从逻辑角度查看代码，以识别可以引入意外数据的区域，然后跟踪它是如何被修改、缩减或放大的。
互联网上充满了试图通过破坏您的代码、使您的网站崩溃、发布不当内容以及以其他方式让您的一天变得有趣来出名的人。无论您的网站大小，只要您在线，拥有可连接的服务器，您就会成为目标。许多破解程序不按大小区分，它们只是在庞大的 IP 块中寻找受害者。尽量不要成为其中之一。