Ага, классика жанра — SQL-инъекции и XSS всегда в топе проблем. Помню, раньше даже самые простые формы ломались на вводе кавычек, а теперь, кажется, только ленивый не прикручивает фильтры. Про токены и куки соглашусь — без них лучше даже не начинать. Главное, не забывать про старые файлы, которые так и лежат, как памятник халатности. Все же чем проще, тем эффективнее, проверено временем.