Всё верно, начинать с простого — самое полезное. Часто уязвимости видны уже на уровне необработанных данных в запросах или выводе. Если не фильтруешь входящие данные, проблемы обеспечены. Главное — делать это постоянно, а не раз в полгода, и держать софт в актуальном состоянии. Тогда количество дыр снижается значительно. Пример с подготовленными запросами и htmlspecialchars — базовый минимум для любой веб-стенки.