Честно, раньше с формами было попроще — пароли просто в md5 и всё. Сейчас, конечно, понял, что без нормального bcrypt или Argon2 не живут, и капча, пусть раздражает, но нужна. CSRF-токены тоже спасают, особенно когда залетают с чужих сайтов. Главное — не городить тут всяких драконов, а сделать базу и держать форму в крепком HTTPS. Вот и всё.