Подготовленные запросы реально выручают — они отделяют данные от кода, так что инъекция почти невозможна. Валидация помогает, но без подготовки запросов это как ставить замок на двери без ключа, просто легче взломать. Права базы тоже важны — если ограничить, то даже при атаке урон будет минимальный. В общем, лучше всё комбинировать, одно без другого толку мало.