Misión imposible como proyecto de aplicación de defensa

Tengo un proyecto de seguridad de Ataque y Defensa para la escuela y no sé cómo protegerlo ya que todas las formas clásicas están prohibidas por las reglas, por lo que

Supongamos el siguiente proyecto:

Una aplicación web con la siguiente funcionalidad:

1. registro de cuenta.

2. Conexión de base de datos donde se almacena toda la información.

3. Presentación de esta información de acuerdo con los comentarios del usuario.

4. La aplicación web estará saturada en el nivel de LAN

Reglas:

1. No se permiten firewalls.

2. No hay aplicaciones similares a fail2ban.

3. No WAF.

4. No se puede utilizar una biblioteca xss.

5. No hay mitm para inyectar javascript para agregar capas de defensa. (El proyecto se apilará desde dentro de la red).

6. No https

Cualquier ayuda es apreciada.