示例1
当在PHP应用程序中常见的Web服务器上使用可执行库文件时,开发人员可能会在任何面向用户的可执行文件中执行访问检查,并省略从库文件本身中的访问检查。通过直接请求库文件(CWE-425),攻击者可以绕过此访问检查。
示例2
当开发人员开始为Web应用程序实现输入验证时,通常在使用外部控制输入的代码的每个区域中执行验证。在带有许多输入的复杂应用程序中,开发人员经常在此处错过一个参数或那里的cookie。一个经常应用的解决方案是集中所有输入验证,将这些经过验证的输入存储在单独的数据结构中,并要求这些输入的所有访问必须通过该数据结构。另一种方法是使用外部输入验证框架(例如Struts),该框架在代码处理输入之前执行验证。