Согласен с тем, что проблемы могут быть в самых неожиданных местах — просто смотреть формы и API мало. Если где-то пропихивают строки напрямую, вся защита падает. С подготовленными выражениями стало легче, но надежнее всего — делать комплекс: проверять код, контролить логи и фильтровать данные. Автоматами только не обойтись, важно самому внимательно глядеть.