OWASP 应用程序安全验证标准 4.0.3

验证敏感数据是否在 HTTP 消息体或头部发送到服务器，并确保任何 HTTP 方法的查询字符串参数不包含敏感数据。

确保用户有方法根据需要删除或导出他们的数据。

请确保向用户提供关于收集和使用所提供个人信息的清晰说明，并且在以任何方式使用这些数据之前，用户已提供同意使用这些数据的选择加入许可。

验证应用程序创建和处理的所有敏感数据是否已被识别，并确保有关于如何处理敏感数据的政策已制定。(C8)

验证访问敏感数据是否被审计（不记录敏感数据本身），如果数据是在相关数据保护指令下收集的，或在需要记录访问的情况下。

在不再需要敏感信息时，验证内存中的敏感信息已被覆盖，以减轻内存转储攻击的风险，可使用零或随机数据进行覆盖。

验证需要加密的敏感或私人信息是否使用经过批准的算法进行加密，这些算法能同时提供机密性和完整性。(C8)

确保敏感个人信息受到数据保留分类的管理，以便过时或不再需要的数据能够自动、按计划或根据情况删除。