Posso consigliarvi di dare un'occhiata a come la pensa il Open Web Application Security Project (OWASP) al riguardo:
http://www.owasp.org/index.php/Top_10_2007-A3