Кстати, кроме XSS и SQL-инъекций, полезно сразу понять основы работы с CSP — Content Security Policy. Это реально помогает прикрыть многие дырки на уровне браузера, особенно когда уже есть фильтрация ввода. Плюс, стоит смотреть на конфигурацию HTTP-заголовков, чтобы не давать лишних шансов для эксплуатации. Веб-безопасность – это много слоёв, каждый важен.