Сомнительно, что просто подготовленные запросы и ORM решат всю проблему. Если код кривой и базы залочены не по уму, то никакая защита не спасёт. Вдруг именно из-за этого вся эта SQLi тема до сих пор жива — пока ленятся всерьёз сидеть и копать. ИМХО, разговоры про WAFы и фильтры — скорее для галочки, реальная защита всегда проще формально звучит, чем работает.