Согласна с тем, что нельзя надеяться только на WAF — он спасает, но не решает проблему полностью. Самое важное — делать нормальную проверку данных и не пускать мусор в базу через пользовательский ввод. И да, ORM иногда помогает избежать SQL-инъекций, но без базовой валидации толку мало. Автоматические сканеры удобны для быстрого поиска, но всегда пропускают что-то. Лучше их использовать вместе с ручной проверкой.