Инъекция sql, по Вашему мнению лучшая защита?
Правила очень простые
1. Все данные подставляем в запрос только через плейсхолдеры
2.идентификаторы и ключевые слова подставляем только из белого списка, прописанного в нашем коде.
Не генерировать SQL конкатенацией строк, а использовать параметризованные запросы, например.