Вот именно, часто всё упирается в банальную спешку — хочется быстро запилить и забыть, а потом вылезают такие дыры. Особенно когда не привыкли сразу использовать подготовленные запросы, код становится уязвимым. Даже простой фильтр без нормального экранирования – и уже беда с утечкой данных. В итоге, из-за экономии времени потом страдаешь гораздо сильнее.