安全是产品的一个特性，当一个产品其他方面都做得很好的时候，安全可能成为产品的核心竞争力。例如搜索引擎，电子邮箱。
好的安全方案：可以有效地解决问题、良好的用户体验、优秀的性能。例如：复杂密码（对抗暴力破解、防止密码中包含个人信息）
业务逻辑安全：业务逻辑问题是一种设计缺陷，在产品开发过程中，可以考虑在产品设计和测试阶段解决。例如：密码取回流程。
账户被盗的途径：
（1）网站登录过程中无 HTTPS，密码在网络中被嗅探。
（2）用户电脑中了木马，密码被键盘记录软件所获取。
（3）用户被钓鱼网站所迷惑，密码被钓鱼网站所骗取。
（4）网站某登录入口可以被暴力破解。
（5）网站密码取回流程存在逻辑漏洞。
（6）网站存在 XSS 等客户端脚本漏洞，用户账户被间接窃取。
（7）网站存在 SQL 注入等服务器端漏洞，网站被黑客入侵导致用户账户信息泄露。
（8）撞库。
分析账户被盗的原因：（1）调查客服；（2）从日志中寻找证据；（3）潜入黑产内部，探听最新动态。
互联网垃圾 —— 非正常注册、垃圾消息
识别恶意信息的方法：基于内容的规则（以自然语言分析、关键词匹配等为代表）、基于行为的规则（以业务逻辑规则为代表）、基于客户端识别的规则（以人机识别为代表，如图形验证码）
网络钓鱼
钓鱼网站：主要传播途径为邮箱、IM，还有论坛、博客、评论、SNS、微博等。通过 Google 的 Safe Browsing API 可以获取钓鱼网址、挂马网址、诈骗网址的黑名单。
邮件钓鱼（伪造发件人）：识别发件人邮箱的安全技术（大多基于域名策略），比如 SPF（Sender Policy Framework，不便维护）、DomainKeys（在标准邮件协议上多了一个扩展，加密解密过程影响性能、增加了配置维护成本）、微软的 SenderID 技术。
网购流程钓鱼
如何自动识别钓鱼网站？
用户隐私保护
PCI-DSS（支付卡行业-数据与安全标准）对企业持有的“持卡人个人信息”做出了严格的要求。
如何保护：① 用户应该拥有知情权和选择权；② 网站应该妥善保管收集到的用户数据，不得将数据用于任何指定范围以外的用途。
Do-Not-Track