Самое простое и действенное – это подготовленные запросы. Они реально избавляют от SQL-инъекций, если не лениться и писать код правильно. Валидация и минимальные права для базы – тоже важно, иначе все усилия могут пойти коту под хвост. WAF – это больше страховка, чем основа защиты.