В старые добрые времена хватало простого экранирования и токенов, сейчас без Content Security Policy уже рискуешь. Кэш и нестандартные запросы – да, больная тема, с этим много хлопот. А вот сканеры – прямо мастхэв, но патчи вручную ставить всё равно придется, автоматикой тут не спасешь.