В каком этапе обучения нужно беспокоиться о безопасности?
Начинать беспокоиться о безопасности надо ДО начала обучения. То есть сильно раньше, чем когда уже "написал блог".
Хотя бы базовые принципы надо применять с самого начала
Для запросов в бд использовать подготовленные выражения. 
Для вывода информации в html использовать htmlspecialchars
Если не дай бог читаются какие-то указанные пользователем файлы - то basename()
При заливке файлов проверять расширение и переименовывать файл.
При выполнении пользователем каких-то действий, проверять имеет ли он на это право. 
Во все формы добавлять сохранённый  в сессии токен, чтобы их не могли подделать
1) Почитайте спецификацию REST API
2) Почитайте про JWT и авторизазацию по токену