Согласен, многие забывают про простые вещи, а именно они и спасают. Быстро пробежаться по основным моментам — вроде хэшей паролей и headers — реально показывает, насколько проект готов к реальным атакам или нет. Часто просто ленятся подключить нормальные библиотеки и всё.