Самое простое решение – это использовать подготовленные выражения и не лить сырые данные в запросы. Фильтрация на сервере нужна в любом случае, даже если есть клиентская. Сужаешь права у базы – и сразу меньше шансов получить сюрпризы. WAF — круто, но без нормального кода он мало что спасёт. Пока так пробую — пока проблем нет.