Utilizar stored procedures para validar os parâmetros de entrada do usuário.

Nunca construir comandos dinâmicos diretamente da aplicação.

Bloquear caracteres do tipo ;(ponto e virgula), '(aspas simples), xp_, --.

Se possível, sempre concatenar os valores digitados pelo usuário com o comando SQL.

Quando trabalhar com XML, sempre validar os dados de entrada utilizando um esquema.