Каков "минимальный набор" безопасности сайта, сделанного на PHP?

Меня знакомые иногда просят сделать им сайт на PHP или внедрить какую-то фичу, и мне нужно знать, какие меры безопасности должны быть предприняты, прежде, чем я могу написать хоть одну строчку кода? Отдельные элементы, вроде htmlspecialchars, я знаю, но вот минимального набора, без которого лучше не писать ни строчки кода, - нет. Можете подсказать?

Фильтровать надо только данные которые приходят от пользователя. Вы можете написать скрипт который что-то считает, потом пишет это в файл и в следующий раз читает из него, в этом нет ничего опасного, вы работаете только со своими данными, но как только дело доходит до пользовательских данных, вот там и начинаются ошибки. Универсального примера нет, каждый случай уникален, и всё нужно по своему фильтровать.

-----
Если вы хотя бы 3-4 раза не решите всё выкинуть и начать заново - вы явно что-то делаете не так.

Если не знаешь как обеспечить безопасность от атак на уровне скриптов, то почитай в инете способы и виды атак и уязвимостей. Также есть онлайн анализатор уязвимостей скриптов. Не идеально , но минимально от распространённых уязвимостей поможет избавиться .

пиши на фреймворке и используй шаблонизаторы чтоб не болела голова

Есть еще такая штука apache mod_security. Прослойка которая ищет подозрительные вхождения в запросах и всякие SQL-инъекции. Но и ее тоже надо настраивать, несколько параноидальная она.