Bezpieczeństwo systemów webowych

W jaki sposób zabezpieczacie aplikacje webowe ?
Do tej pory koncentrowałem się nad aplikacjami intranetowymi, więc nie za wiele poświęcałem czasu nad tym zagadnieniem.
Dostałem zlecenie aby napisać system, który jest (i musi być) wystawiony na zewnątrz, początkowe założenie było takie, aby końcowi userzy łączyli się poprzez VPNy, niestety pomysł padł. Kiedyś czytałem o certyfikatach instalowanych w przeglądarki portable i na pendrive jednorazowego zapisu, ale nie mogę nigdzie tego znaleźć (może ktoś ma jakieś info na ten temat ?).

Jak wy sobie radzicie z tego typu problemami ?

1. Spring Security
2. Pisanie kodu z głową ;]
   Mam nadzieję że rozumiesz takie pojęcia jak XSS czy SQL Injection i znasz narzędzia typu w3af?

Oczywiście że znam, nawet pisząc w intranecie starałem się zabezpieczać przed tego typu zagrożeniami.

Niestety mi tutaj chodzi o zabezpieczenie się przed głupotą użytkowników, stąd pomysł z VPN'ami, niestety to nie przejdzie z różnych względów.
Dlatego myślę o certyfikacie zainstalowanym w przeglądarke a ta z kolei nagrana na pendrive jednokrotnego zapisu, póki co wydaje mi się to najsensowniejszym rozwiązaniem, aczkolwiek czytałem o tym kilka lat temu i nie mogę nigdzie znaleźć żadnych materiałów na ten temat.