OWASP 应用程序安全验证标准 4.0.3

验证应用程序是否具备防御 HTTP 参数污染攻击的能力，尤其是在应用程序框架对请求参数的来源（GET、POST、cookie、头部或环境变量）不加区分时。

确认框架能防止批量参数分配攻击，或者应用程序有相应的防护措施来防止不安全的参数分配，例如将字段标记为私有或采取类似措施。（C5）

验证所有输入（HTML 表单字段、REST 请求、URL 参数、HTTP 头、Cookie、批处理文件、RSS 源等）是否使用正向验证（允许列表）进行验证。(C5)

验证结构化数据是否为强类型，并根据定义的模式进行验证，包括允许的字符、长度和模式（例如信用卡号码、电子邮件地址、电话号码，或验证两个相关字段是否合理，例如检查郊区和邮政编码是否匹配）。(C5)

验证 URL 重定向和转发仅允许出现在允许列表中的目标，或在重定向到潜在不受信任的内容时显示警告。