เช็กลิสต์ความปลอดภัยเว็บแอปก่อนขึ้นระบบจริง ฉบับสั้น

• รหัสผ่านเก็บแบบแฮชที่ออกแบบมาสำหรับรหัสผ่าน (scrypt, argon2, bcrypt) ห้ามเก็บข้อความจริง
• คุกกี้เซสชันตั้ง HttpOnly, Secure, SameSite
• จำกัดจำนวนครั้งการล็อกอินผิด และล็อกชั่วคราว
• ตรวจสิทธิ์ทุกคำขอฝั่งเซิร์ฟเวอร์ อย่าเชื่อค่าจากหน้าเว็บ
• แสดงข้อความที่ผู้ใช้พิมพ์โดยผ่านการ escape เสมอ
• อัปเดตไลบรารีสม่ำเสมอ และสแกนช่องโหว่
• สำรองฐานข้อมูลอัตโนมัติ และเก็บนอกเครื่องหลัก

ข้อไหนที่เพื่อน ๆ เคยพลาดแล้วเจ็บ มาแชร์กันครับ