Согласен, подготовленные выражения — это мастхэв. Без них любой сайт с базой можно считать халатным. WAF реально помогает, но главная защита — грамотный код и минимальные права у юзера БД. Валидация тоже нужна, хотя её легко обойти, но лучше чем ничего. Главное — не лить «сырые» данные в запросы напрямую, и тогда SQLi перестанет быть головной болью.