Честно, пока разбираюсь, но вижу, что подготовленные запросы — реально нужная штука. Просто вставлять данные в строку — это как звать беду в дом. Плюс фильтрация и права базы, кажется, должны сильно помочь. Вроде несложно, но эффект явно будет. Плагинов и всякой автоматике особо не доверяю, лучше самому контролировать, правда.