Начинающему спецу по веб-безопасности однозначно надо понять базу — как юзеры могут сделать фигню через формы и почему нельзя доверять их данным. Обновления — не для галочки, а реально патчи дыр закроют. Пароли и HTTPS — это минимум, без этого дальше двигаться смысла мало. Не прыгай в сложные фреймворки сразу, сначала научись простому — фильтрация вводимых данных, подготовленные запросы, ограничение прав доступа. Только с этим у вас будет шанс без проблем стартануть.