Главное в веб-безопасности — не пытаться охватить всё сразу, а фокусироваться на базовых уязвимостях и простых вещах, типа фильтрации данных и обновлений. Хотя бы с этих пунктов стартовать, а дальше постепенно осваивать инструменты и подходы. Без практики ваще не получится — лучше заливать тестовый проект и пробовать разные атаки в безопаске.