いろいろな方が公式フォーラムなどで、セキュリティーの視点からモジュール開発で注意すべき点について言及していますが、いったいどれくらいのタブーが存在するのでしょうか。

私の見つけた限りでは、
・数値型はintval()をかける。
・includeよりrequire？
・foreach()やextract()で$_GETや$_POSTなどを展開してはいけない。
・queryFはGETの時にもSELECT以外のクエリを送るので必要が無い限りqueryにする。
・$_GETや$_POSTなどのtrimは無駄？
・(ブラウザやSQLなどで)出力する前には必ず$myts
・インクルードされるファイルの頭にはif (!defined('XOOPS_ROOT_PATH')) exit();

細かく書けばもっと出てきたり、書いていないことも沢山あると思われます。