He recibido una pregunta en el foro de PHP sobre la seguridad en las aplicaciones que se realizan en PHP y creo que es mucho mejor y más completo responder con una entrada en el blog en vez de en el foro... por aquello de aumentar la difusión.

Bien, para tener una aplicación PHP segura debes:

• Inicializar todas las variables que uses
• Verifica todas las entradas en la base de datos
• Separa el código PHP de la estructura HTML
• Desconfia en las comprobaciones en la parte del cliente (javascript, ...)
• Si es una aplicación muy grande, plantea la posibilidad de tener módulos 'independientes' con sus propias comprobaciones
• Nunca hagas llamadas al sistema
• No esperes a codificar la aplicacion para tener en cuenta la seguridad
• Comprueba la subida de ficheros, no sea que te lo saturen con ficheros inservibles
• Si la aplicación va a tener mucho tráfico es conveniente que el usuario de acceso a la base de datos tenga los permisos restringidos

Esto es una guia para tener una web segura, pero si la información es muy sensible y es necesaria tener una web infranqueable te convendría ponerte en manos de expertos en seguridad.