16.1 产品需要什么样的安全
（1）安全是产品的一个特性，具备了安全性，产品才是完整的；安全做好了，产品最终才能真正成熟。
（2）一个优秀的安全方案，除了可以有效地解决问题之外，至少还必须具备两个条件：良好的用户体验、优秀的性能。

16.2 业务逻辑安全
（1）业务逻辑问题是一种设计缺陷，在产品开发过程中，可以考虑在产品设计和测试阶段解决。
（2）业务逻辑问题没有一个成熟的归纳体系，很多时候，只能依靠安全工程师的个人经验来判断这些问题。

16.3 账户是如何被盗的
（1）账户被盗的途径：网站登录过程中无HTTPS，密码在网络中被嗅探；用户电脑中了木马，密码被键盘记录软件所获取；用户被钓鱼网站所迷惑，密码被钓鱼网站所骗取；网站某登录入口可以被暴力破解；网站密码取回流程存在逻辑漏洞；网站存在XSS等客户端脚本漏洞，用户账户被间接窃取；网站存在SQL注入等服务器端漏洞，网站被黑客入侵导致用户账户信息泄露。
（2）账户被盗的原因：客服是最重要和直接的渠道；从日志中寻找证据；打入敌人内部，探听最新动态。

16.4 互联网的垃圾
（1）在网站应用中，垃圾注册几乎成为一切业务安全问题的源头。
（2）防范垃圾注册和垃圾消息有两个步骤：“识别”和“拦截”。
（3）拦截的方法根据业务而定，可以选择冻结账户或者删除账户，也可以只针对垃圾内容做屏蔽。

16.5 关于网络钓鱼
（1）钓鱼网站的防控：控制钓鱼网站传播的途径；直接打击钓鱼网站；用户教育；自动化识别钓鱼网站。

16.6 用户隐私保护
（1）用户应该拥有知情权和选择权；网站应该妥善保管收集到的用户数据，不得将数据用于任何指定范围以外的用途。