Согласен. Прокси работает _вне_ движка, потому имеет контроль не более того, что способно сделать само приложение. А сложные правила текстовой фильтрации только будут приводить к появлению ошибок и уязвимостей - администратор системы считает, что он сделал дополнительную защиту для коррекции ошибок разработчика, а разработчик считает, что все равно админ заблокирует опасные запросы и можно особо не беспокоиться о безопасности. Защищать надо в двух местах - где лежит бизнес-логика и данные, то есть на уровне приложения и на уровне движка, но не между ними (на уровне протокола передачи требуется лишь предотвратить несанкционированный доступ и искажение информации).