Раньше всё было попроще — главное было не дать залить SQL запрос с диким мусором, и всё работало. Сейчас же столько всего надо проверять, WAFы, ORM, сканеры — без этого реально сложно. Но кажется, что больше зависит от того, как код пишешь, а не от того, какие там штуки навешиваешь сверху.