Можно ли быть уверенным в безопасности веб приложения?
В полной безопасности приложение существует только на выключенном сервере. Вот тебе пример кода, от которого не спасёт ничто, и даже медицина тут бессильна (пробовали лечить т-щей и электричеством, и холодными компрессами, но тщетно):eval( $_GET[ 'stupid' ] );
Смех-смехом, но подобных (или загруженных позднее) закладок вот этими руками выковыряно немало. Так что регулярно читайте CVE, публикуйте фиксы, репортите баги, и ни в коем случае не меняйте Wordpress на что-нить более толковое, а то оставите меня без половины зарплаты.
Нет, не спасут. Чем проще приложение, тем меньше шансов взлома, однако если есть ошибки, то опытный человек взломает, вопрос через сколько? День, месяц? Некоторые ошибки находят спустя 20 лет после выхода продукта на рынок.