之前听某位朋友说过“面向过程一大堆漏洞” ？

并不，面向对象写的代码一样的一堆漏洞.这和你用什么代码方式没关系，而是和写代码的人有关系.有些人代码写的丑但是安全方面做的特别严谨.有些人代码写的虽然好看，但是还是花架子一个.
给你举个例子
demo.php?type=1&username=aaa
有些人看到这个，后台上来第一反应就是$type=isset($_GET["type"])?$_GET["type"]+0:err();//或者(int)$_GET["type"]:err();
function err(){
die("ERROR");
}
而有些人是
if($_GET["type"]){//或者isset($_GET["type"])
....
$type= $_GET["type"];
....
...//开始写代码
...//一大堆
...
}else{
...
...
...
}
这里只是举个例子，实际运用上可能还是有些出入
楼上有人提到框架可以做一部分安全工作，其实确实有这一部分原因.但是主要原因我觉得还是个人.两种方式都用的其实大有人在，主要是代码的包容性和扩展性.面向过程在这一方面来说可能有点欠缺.如果你需要多人维护或者可以在多年以后见代码知其意，除了一些必要的注释外可能还需要更好的对你的代码进行分类，归档，这样才能进行更好的管理.
至于框架，呲之以鼻.有人觉得好有人嫌弃.没有什么框架100%完美.框架只是一个万精油模型，套上就用，套不上就拉倒.项目中小，开发周期短可以考虑框架.有时间还是自己慢慢造轮子吧.框架方法都是武器，最趁手的当然最好.不过如果你要走这条路，你的老板和同事可能不这样想.