С большой силой приходит и большая ответственность — техника безопасности в AngularJS

Первые два пункта, скорее, относятся даже не к конкретно AngularJS или javascript'у, а к программированию в принципе.

По второму пункту было бы неплохо привести пример тех самых «не безопасных директив». Скажем если директива использует скоуп и смотрит за ним, то проблем по идее не должно быть.

jsfiddle.net/XAZFr/ — это то что я смог сходу придумать… но буду рад увидеть более адекватные примеры.

Только недавно была статья про использование директивы Ace, так опять пишут про основы JS и часть документации про изолированные скоупы. К сожалению, самое интересное в посте — картинка. А жаль.

Вообще, при работе с формой, не следует отправлять на сервер объект, связанный с полями формы. Стоит отправить его копию. Простой пример:

В форме используется ресурс

user: {
  email: a@a.ru,
  password: 123
}

делаете user.$save(), получаете в ответ что-то вроде {data: true} (мало ли что может вернуть бэкенд), user становится

user: {
  data: true
}

и поля формы внезапно очищаются.

Чтобы этого не происходило нужно отделять друг от друга объект формы и ресурса

В Angular 1.2 появились alias для контроллеров.

<div ng-controller="StoreController as store">{{store.name}}</div>

app.controller('StoreController', function() {
	this.name = 'this.name';
});

Пример использования jsfiddle.net/5UW2X/
Используя alias, аргумент $scope для контроллера становится не обязательным, но в дочерних контроллерах, что бы получить доступ родительскому контроллеру необходимо обратиться через $scope.[aliasName].some

P.S. $scope.$watch возращает функцию, при вызове которой слежение прекратиться

var unwatch = $scope.$watch("some", function () {
	//only one time callback
	unwatch();
});

Вторая проблема, как и третья, решаются одинаково: $scope — это не модель, а контейнер моделей. Столько копий уже об это сломано.

Так что ваш пример, хоть и корректен, но является плохой практикой.
Если есть необходимость обнулять массив, то это сигнал, что он должен быть свойством другого объекта (модели)

$scope.model.array

Раньше еще часто замечали, что в ng-model должна быть минимум одна точка, тогда никогда не словите эту проблему и не будете иметь геморроя с хаками вроде array.length = 0…
По опыту: рано или поздно, если нарушать это правило, проблему не только словите, но и пропустите в продакшн, не заметив где-нибудь, и вот тогда уже перестаните это делать.

Я вообще-то пользуюсь точкой обычно, но чисто ради интереса — а как очистить объект?

По первому пункту: зачем вообще нужна var emptyObject = {...}? Почему не переместить код инициализации пустого объекта в тело createEmptyEntity() и избавиться от необходимости что-то копировать и помнить об этом?

По второму пункту — если не нужна цепочка прототипов можно сделать так:

angular.copy($scope.myObj, newObj);