保证安全测试的系统性，避免漏测与测试结果的随机性

应用程序中有一系列漏洞只有在特殊功能中才会表现出来

应用程序很多重要的漏洞都是由无法预测的用户输入触发

防御攻击者向应用程序发动有效攻击的重要前提是彻底了解这些机制

访问控制是应用程序安全防范和保护的主要策略

会话管理是保持用户的整个会话活动的互动与计算机系统跟踪过程

验证机制是客户端向服务器证明其身份的特殊方法

分析应用程序，为进一步的测试方向做指引

尽可能地去发掘更多的与应用程序有关的内容

当执行攻击Web应用程序所需的详细步骤时，应始终记住基本的注意事项

没有测试的代码无法提及质量的保证