SQL Injection es un ataque en el que se pasa código malicioso a un servidor SQL que lo ejecuta. El ataque puede resultar en acceso no autorizado a datos confidenciales, o destrucción de datos críticos. 

Antes de probar los siguientes métodos, tenga en cuenta que esto solo debe ser una preocupación para los desarrolladores de PHP y similares. Si está utilizando un programa de base de datos orientado (por ejemplo, WordPress, Joomla, OsCommerce), entonces todo lo que necesita hacer es actualizar sus programas a la última versión disponible.  

Métodos para prevenir SQL Injection:

Escapando

Una forma de impedir las inyecciones es evitar caracteres peligrosos (es decir, barra invertida, apóstrofo y punto y coma). En PHP, es típico utilizar la técnica de "escaping" en la entrada usando la función 

mysql_real_escape_stringantes de enviar la consulta SQL.

Ejemplo:

$Uname = mysql_real_escape_string($Uname); 
$Pword = mysql_real_escape_string($Pword); 
$query = "SELECT * FROM Users where UserName='$Uname' and Password='$Pword'"; 
mysql_query($query);

Declaraciones parametrizadas 

Una consulta parametrizada usa espacios reservados para la entrada, y los valores de los parámetros se proporcionan en tiempo de ejecución.

$params = array($Uname, $Pword); 
$sql = 'INSERT INTO Users (UserName, Password) VALUES (?, ?)'; 
$query = sqlsrv_query($connection, $sql, $params);

Avanzado: En PHP versión 7 y superior, hay varias opciones para el uso de declaraciones con parámetros, la capa de base de datos DOP es una de estas. También hay métodos específicos de proveedores: por ejemplo, MySQL 4.1 + utilizado con la extensión MySQLi