最近知ったのですが、IPA (Information-technology Promotion Agency, Japan; 情報処理推進機構) の Web サイトに「安全なウェブサイトの作り方」というドキュメントが置かれているようです。

まだざっと目を通しただけなのですが、代表的な Web アプリケーションの脆弱性（SQL Injection, XSS, ...）について解説されていて、参考になりそうです。

Web アプリケーションをアウトソーシングするような企業さんは、このドキュメントへの準拠を要求仕様に入れておくと幸せになれるんじゃないかな、と思いました。