Utilizar parâmetros nomeados e passar os valores separadamente, permitindo que o provedor de dados gere comandos preparados de forma segura.

Concatenar as entradas do usuário após “sanitização” (substituir aspas, remover palavras-chave), pois isso evita ataques na maioria dos casos.

Depender de migrações automáticas para validar o esquema, reduzindo o risco de injeção na camada SQL.

Usar change tracking do Dapper para que os valores sejam tratados como dados, não como código.

Eliminar N+1 automaticamente, pois menos rodadas no banco reduzem a superfície de ataque.