Я в целом сомневаюсь, что простая фильтрация и проверка типов полностью спасет от SQLi. Особенно если где-то в коде заваляется старый запрос с прямой конкатенацией. Тут нужен именно комплексный подход и старания от всей команды, иначе можно так долго биться, а дырка всё равно найдётся. Параметризованные запросы вроде должны быть базой, но на практике часто забывают.