Честно, пока что у меня больше запутанности с этими CSRF и сессиями, чем с SQL-инъекциями. SQL вроде как знаю, а эти токены и куки — что-то сложно кажется. Надо бы как-то проще это всё проверить без заморочек. Думаю, просто убедиться, что не дают залезть туда, куда не надо, уже будет круто.