Como programador de ‘nivel intermedio’ que solo trabaja en el backend de la aplicación web de una startup, ¿qué tan preocupado debería estar por las lagunas de seguridad que podría estar creando involuntariamente, incluso si soy capaz de acelerar las cosas rápidamente?

Aterrorizado. Agazapado en un rincón, temblando y llorando.

La respuesta de Matt es excelente. Aprende lo que puedas sobre cómo lidiar con eso. Lo curioso de esa lista es que la inyección ha sido el mayor problema durante años y sigue siéndolo.

Obtenga algunos libros sobre pruebas de penetración (Me gusta The Basics of Hacking and Penetration Testing) y siga el blog de Troy Hunt. Tenga todo eso en mente mientras escribe su código, y haga lo que pueda por su cuenta para una primera ronda de pruebas.

Pero al final, no podrá encontrar todas las vulnerabilidades. El consejo de Matt de que una empresa externa lo revise es sólido. Sí, costará, pero el precio de NO hacerlo y ser hackeado es mucho mayor, lo que puede ser devastador para un negocio incipiente. Cualquiera sea el costo, es un buen seguro si la compañía quiere tener un futuro.

Quora User hizo una buena respuesta.

Además de eso, me gustaría decir que debes tratar de delegar cosas sensibles a la seguridad a alguien, que es bastante bueno en eso.

Si desea manejar el pago con tarjeta de crédito. Usa stripe.com

Si desea manejar la autorización del usuario: use oauth.net

Y. Debe desinfectar / escapar de cada entrada del usuario. Echa un vistazo a http://json-schema.org/

Eso es.
Espero eso ayude.

.

Cuando escriba código, asegúrese siempre de que lo que sale de sus pulsaciones de teclado sea seguro. Para eso están las pruebas. De lo que puedes estar seguro es que las lagunas no son tu culpa. Después de reunir todos los bloques de código, pruebe todo de nuevo. Usted, como equipo, está haciendo algo que la gente usará, así que asegúrese de que sea seguro.

Me refiero a que podría usar PayPal para manejar los pagos, pero aun así, ¿qué pasaría si alguien pudiera encontrar una forma de acreditar incorrectamente dólares a un proyecto (con SQL o una actualización de la página o lo que sea que tenga), y luego lo tiene configurado automáticamente hasta entonces retirar ese dinero a un usuario. Ahora la gente básicamente puede robarte cualquier cantidad de dinero. Cosas aterradoras Tendría mucho cuidado como el infierno.