Полностью согласен, prepared statements — базовый минимум. Иногда вижу, как народ пытается залатать дыры просто фильтрами ввода, а это мимо кассы. Логирование реально помогает понять, кто и как пытается съесть базу, особенно когда потом анализируешь и видишь повторяющиеся паттерны. Ну и ограничение прав в БД — мастхэв, чтобы даже если что, ущерб не был критичным. ORM в помощь, но не панацея — надо всё равно мозг включать.