一、界面和用戶(hù)體驗（Interface and User Experience）

1.1

知道各大瀏覽器執行Web尺度的情況，保證你的站點(diǎn)在主要瀏覽器上都能正常運行。你至少要測試以下引擎：Gecko（用于Firefox）、Webkit（用于Safari、Chrome和一些手機瀏覽器）、IE（你可以利用微軟發(fā)布的Application Compatibility VPC Images進(jìn)行測試）和Opera。同時(shí)，不同的操縱系統，可能也會(huì )影響瀏覽器如何呈現你的網(wǎng)站。

1.2

除了瀏覽器，網(wǎng)站還有其他使用方式：手機、屏幕朗讀器、搜索引擎等等。你應該知道在這些情況下，你的網(wǎng)站的運行狀況。MobiForge提供了手機網(wǎng)站開(kāi)發(fā)的一些相關(guān)知識。

1.3

知道如何在基本不影響用戶(hù)使用的情況下進(jìn)級網(wǎng)站。通常來(lái)說(shuō)，你必需有版本控制系統（CVS、Subversion、Git等等）和數據備份機制（backup）。

1.4

不要讓用戶(hù)看到那些不友好的犯錯提示。

1.5

不要直接顯示用戶(hù)的Email地址，至少不要用純文本顯示。

1.6

為你的網(wǎng)站設置一些公道的使用限制，一旦超過(guò)門(mén)檻值，就自動(dòng)休止服務(wù)。（這也與網(wǎng)站安全相關(guān)。）

1.7

知道如何實(shí)現網(wǎng)頁(yè)的漸進(jìn)式增強（progressive enhancement）。

1.8

用戶(hù)發(fā)出POST哀求后，老是將其重導向（redirect）至另外一個(gè)網(wǎng)頁(yè)。

1.9

不要健忘網(wǎng)站的可訪(fǎng)問(wèn)性（accessibility，即殘疾人如何使用網(wǎng)站）。對于美國網(wǎng)站來(lái)說(shuō)，有時(shí)這是法定要求。WAI-ARIA有一些這方面很好的參考資料。

二、安全性（Security）

2.1

閱讀《OWASP開(kāi)發(fā)指南》，它提供了全面的網(wǎng)站安全指導。

2.2

了解SQL注入（SQL injection）及其預防方法。

2.3

永遠不要信任用戶(hù)提交的數據（cookie也是用戶(hù)端提交的?。?。

2.4

不要明文（plain-text）儲存用戶(hù)的密碼，要hash處理后再儲存。

2.5

不要對你的用戶(hù)認證系統太自信，它可能很輕易就被攻破，而你事先根本沒(méi)意識到存在相關(guān)漏洞。

2.6

了解如何處理信用卡。

2.7

在登錄頁(yè)面及其他處理敏感信息的頁(yè)面，使用SSL/HTTPS。

2.8知道如何對付session劫持（session hijacking）。

2.9避免跨站點(diǎn)執行（cross site scripting，XSS）。

2.10避免跨域偽造哀求（cross site request forgeries，XSRF）。

2.11及時(shí)打上補丁，讓你的系統始終跟上近期版本。

2.12確認你的數據庫連接信息的安全性。

2.13跟蹤攻擊技術(shù)的近期發(fā)展，以及你使用的平臺的近期安全漏洞。

2.14閱讀Google的《瀏覽器安全手冊》（Browser Security Handbook）。

2.15閱讀《網(wǎng)絡(luò )軟件的黑客手冊》（The Web Application Hackers Handbook）。