Mission Impossibile come progetto di applicazione di difesa

Ho un progetto di sicurezza di attacco e difesa per la scuola e non so come proteggerlo dal momento che tutti i metodi classici sono proibiti dalle regole, quindi

Assumi il seguente progetto:

Un'applicazione Web con la seguente funzionalità:

1. registrazione dell'account.

2. Connessione al database in cui sono archiviate tutte le informazioni.

3. Presentazione di queste informazioni in base all'input dell'utente.

4. L'applicazione web sarà sottoposta a test su livello LAN

Regole:

1. Nessun firewall consentito.

2. Nessuna applicazione fail2ban come.

3. No WAF.

4. Nessuna libreria xss può essere utilizzata.

5. Nessun mitm per iniettare javascript per aggiungere livelli di difesa. (Il progetto sarà ripetuto all'interno della rete.)

6. No https

Qualsiasi aiuto è apprezzato.