HangGlider

Если есть амбиции на java, андроидную java, python, ruby - Intelj Idea.
Иначе phpStorm, который по сути та же Idea без фич, кроме плагина php.

Можно, если данные не фильтруются.

Форма

<form action="<?=$_SERVER['REQUEST_URI']?>">
...
</form>

при запросе: host.com/form/%22%3E%3Cscript%3Ealert('xss')%3C/script%3E%3Cbr%20class=%22demo

превратится в:

<form action="http://host.com/form/"><script>alert('xss')</script><br class="demo">
...
</form>

Если файлы статические и лежат локально - не понятен смысл прокси. Можно отдавать сразу файлы, прописав путь в соответствующем location.

Если файлы лежат на удаленном хосте, то можно настроить их кэширование на некоторое время. После протухания кэша, новый файл загрузится с удаленного хоста и будет положен в кэш.
Есть возможность принудительно запросить файл минуя кэш, используя заголовки запроса.

Если вы хотите заставить прокси-сервер каждый раз обращаться на удаленный хост для проверки времени файла, то теряется сам смысл прокси как ускорителя отдачи контента.

Зависит от ситуации. Например,
- у поставщиков развлекательного контента - не принято.
- у кредитно-финансовых учреждений - принято.

Если перехват сессии нанесет вашему клиенту ущерб - убивайте.

ZF2 way предполагает использование кода фреймворка для работы с заголовками, а потому:

$type = 'text/xml';
$data = '...';
$fileName = 'data.xml';

$response = $this->getResponse();
$response->setContent($data);

$headers = new \Zend\Http\Headers();
$headers->addHeaderLine('Content-Type', $type)
        ->addHeaderLine('Content-Disposition', 'attachment; filename="' . $fileName . '"')
        ->addHeaderLine('Content-Length', strlen($data));

$response->setHeaders($headers);
return $response;

Если читаете из файла, то первый блок с $response надо заменить на:

$response = new \Zend\Http\Response\Stream();
$response->setStream(fopen($fileName, 'r'));
$response->setStatusCode(200);

или перевести на работу с "X-Accel-Redirect"