addProtection() nechrání přes XSS, to dělají formuláře automaticky. Tohle se používá jako ochrana proti CSRF.
Délka timeoutu není rozhodující, chrání to spolehlivě nezávisle na timeoutu. Nebo jste našel v kódu nějakou chybu?
Názor k článku
Nette Framework: Neprůstřelné formuláře II
