Как обезопасить проект с полностью раздельным фронтендом и бекендом?
Какие еще вопросы по безопасности нужно закрыть?
ровно всё тоже самое что и при монолитном приложении.
пишите нормальный код без дыр в виде sql инъекций и всякого такого.Насколько это безопасно и как защититься от подделок запросов в целом?
для вас неважно подделка это или нет. 
Запросы выглядят одинаково и в случае отправки с сайта, и в случае отправки например каким-нибудь скриптом "злоумышленника".
Если надо защиту, то делайте проверку авторизации и лимит на количество запросов.
Больше вы ничего не сделаете.
В общем разделение не переворачивает весь сайт с ног на голову, это все тот же сайт со стандартными "угрозами" и защитой от них.
1. Хорошо бы OWASP.org прочитать, чтобы знать что такое SQL иньекции и XSS. 
2. Перестаньте делать велосипед, когда вы делаете его опять и опять повышаеться вероятность обосраться, поэтому используйте фреймворки. На пример django-rest-framework