Плюсую к чек-листу, особенно про правильную обработку вывода через htmlspecialchars. Часто вижу, как все только на фильтры делают ставку, а бегает XSS. CSRF-токены должны быть всегда — иначе беда. Еще CSP хорошо помогает ограничить потенциальные скрипты, даже если где-то залип. Обновления системы и плагинов реально снижают риски, не стоит их игнорить.