Warum reicht wp_nonce alleine nicht aus?

wp_nonce schützt vor CSRF, kann jedoch keine Eingaben bereinigen oder validieren.