Да, но квалифициран да.
Трябва правилно да избягате от 100% от входа. И трябва да зададете правилно набори от знаци (Ако използвате C API, трябва да извикате mysql_set_character_set() вместо SET NAMES ). Ако пропуснете едно малко нещо, вие сте уязвими. Така че е да, стига да правите всичко както трябва...
И това е причината много хора да препоръчват подготвени запитвания. Не защото са по-безопасни. Но понеже са по-прощаващи...
