Piensa como unatacante

# Vulnerable: el dato del usuario se mezcla con la consulta
cur.execute(f"SELECT * FROM users WHERE name = '{nombre}'")

# Seguro: el valor viaja aparte, nunca como código
cur.execute("SELECT * FROM users WHERE name = %s", (nombre,))

// Vulnerable: HTML del usuario inyectado sin escapar
<div dangerouslySetInnerHTML={{ __html: comentario }} />

// Seguro: React escapa el texto por defecto
<div>{comentario}</div>

// IDOR: confía en el id que envía el cliente
const factura = await db.get(req.params.id);
enviar(factura);   // ¿es del usuario que pregunta?

// Seguro: comprobar la propiedad en el servidor
if (factura.userId !== req.user.id) throw Forbidden();