Главное — не останавливаться только на формах и API, действительно. Надо смотреть по всему проекту, особенно где есть сырые запросы, даже в сторонних библиотеках. Подготовленные выражения сильно помогают, но если где-то протащить строки вручную — защита падает. Логи периодически смотреть полезно, но на них тоже нельзя полностью полагаться. В итоге нужна комплексная проверка и несколько уровней защиты одновременно.