Спасибо за подробный разбор! Особенно про проверку форм на SQL-инъекции и XSS — раньше об этом почти не думал, а теперь понимаю, что без этого опасно выкладывать. Постараюсь сделать хотя бы базовые тесты перед релизом, чтобы не попасть впросак.