Alex

даже отдаленно напоминающего простой старый добрый for я в ней не увидел .

ng-repeat это не for, это директива для того что бы для каждого элемента коллекции создавать описанный элемент. То есть никакого императива аля "сделай мне 10 элементов". Только декларативное указание что для такого-то состояния должно быть так.

Для того что бы все работало в контроллере вы должны задать состояние, по которому будет отрисовано представление.

Если ваши задачи сводятся к for - то вам не нужен ангуляр. Если вы хотите по старинке работать с DOM - вам не нужен ангуляр. Декларативное описание представления на основе текущего состояния намного удобнее императивной фигни которую вы хотите использовать.

Прочитайте о значениях понятий "императивный" и "декларативный", попейте Новопассит.

Если метод
vm.deleteComment(comment.id)
будет использоваться только в одном контроллере, тогда можно использовать ng-click, а если метод будет использоваться в нескольких конроллерах, лучше сделать директиву, чтобы не дублировать метод в каждом $scope.

Я прям ощущаю тормоза

У вас в 8 и 9 строке последнего скрина подсказка, data = [object, object]
Видимо нужно так: 11) $scope.items = data;

А у вас с таким gulp-файлом не тормозит процесс?
Я бы поменял встроенный gulp.watch на gulp-watch. Ну и по необходимости вручную дергать connect.
Как-то так (упрощенно):

var watch = require('gulp-watch');

gulp.task('watch', function () {
	watch(path.html, function (e, c) {
		gulp.start('html');
	});
	watch(path.js, function (e, c) {
		gulp.start('js');
	});
	watch(path.css, function (e, c) {
		gulp.start('css');
	});
	// итд
});

gulp.task('html', function () {
	return gulp.src(path.html)
		.pipe(gulp.dest(path.html))
		.pipe(connect.reload());
});
// итд на все таски

Ну и на запуск зависимых тасков не стоит полагаться на gulp. Я использую gulp-sequence:

var sequence = require('gulp-sequence');

gulp.task('default', sequence('del', ['html', 'js', 'css', 'img', 'fonts'/* итд */], 'connect', 'watch'));

FAR Manager

Новые капчи, иногда не нужно вбивать символы:
https://nocaptcha.mail.ru/
https://www.google.com/recaptcha/intro/index.html

Если форму заполняет бот(именно бот, не человек автоматизирует процесс), то можно создать

<input type='password' name='password' class='hide-me'>

и проверять, если на сервере $_post['password'] не пустой, значит его автоматом забил бот. Либо наоборот, скрытое заполненное поле, при клике по кнопке "отправить" js его обнуляет. Зависит конечно от бота, но событие click они часто не вызывают, значит при отправке формы наше поле не будет пустым, что снова должно насторожить.

Идеально выяснить, как точно вас спамят и от этого отталкиваться.
Ну и на сервере проверять, что была ли заявка с этого ip. Чтобы не вспугнуть реального пользователя, можно делать, что если повторная заявка в течение получаса, то выводить сообщение, что заявка уже была принята и мы свяжемся как только сможем.

Добавить капчу - как самое простое.
Добавлять куки файл пользователю где ставите отметку входа например.
Далее после нажатия кнопки сверяете разницу во времени между значением из куки и текущим временем.

Стандартная развёртка цикла for

// for (i = 0; i < N; i++) { body }
    i = 0;
    goto check;
loop:
    body;
    i++;
check:
    if (i < N) goto loop;