Используйте параметризованные запросы (prepared statements) вместо конкатенации строк. Это самый надежный способ, так как данные передаются отдельно от SQL-кода.

Пример с SQLite:

import sqlite3

conn = sqlite3.connect('example.db')
cursor = conn.cursor()

Плохо (уязвимо к инъекциям):

cursor.execute(f"SELECT * FROM users WHERE username = '{username}'")

Хорошо (безопасно):

cursor.execute("SELECT * FROM users WHERE username = ?", (username,))

Для других СУБД:
- PostgreSQL: `%s` или `%(name)s`
- MySQL: `%s`
- SQL Server: `?` или `@param`

Дополнительные меры:
1. Валидация ввода
2. Использование ORM (SQLAlchemy, Django ORM)
3. Ограничение прав доступа БД
4. Экранирование спецсимволов (но это менее надежно)