URL重定向跳转
写代码时没有考虑过任意URL跳转漏洞，或者根本不知道/不认为这是个漏洞;
写代码时考虑不周,用取子串、取后缀等方法简单判断，代码逻辑可被绕过;
对传入参数做一些奇葩的操作(域名剪切/拼接/重组)和判断，适得其反，反被绕过;
原始语言自带的解析URL、判断域名的函数库出现逻辑漏洞或者意外特性,可被绕过;
原始语言、服务器/容器特性、浏览器等对标准URL协议解析处理等差异性导致绕过;
Web拒绝服务
现在有许多资源是由服务器生成然后返回给客户端的，而此类“资源生成”接口如若有参数可以被客户端控制（可控），并没有做任何资源生成大小限制，这样就会造成拒绝服务风险，导致服务器处理不过来或占用资源去处理。
比如图片、压缩文件可以被用户自定义大小，或者压缩包可以被无限解压，如果这个压缩包是恶意的套娃压缩包，网站有解压功能的话无限解压这些压缩包，就会耗尽资源。