A maior fraqueza dos muitos programas em PHP não está inerentemente em sua própria linguagem, mas puramente pelo fato do código não está sendo escrito com segurança em mente. Por está razão, você sempre levaria tempo para considerar as implicações de uma dada parte do código, para averiguar o possível dano se uma variável inesperada é submetida nele.
Este script afetarár apenas os arquivos intensionados?
Dados incomuns ou indesejáveis podem agir?
Este script pode ser usado de maneiras sem propósito?
Este script pode ser usado com outros scripts de maneira indevida?
Quaisquer transações serão adequadamente registradas?
Você pode também querer desligar register_globals, magic_quotes, ou outras configurações convenientes que podem te confundir com a validação, arquivos fontes, ou o valor de certas variáveis. Trabalhando com o PHP no modo error_reporting(E_ALL) pode também ajudar a prevenir você, sobre variáveis sendo usadas antes de serem verificadas ou inicializadas (então você pode se prevenir de dados sendo lançados)