seguridad

amigos quisiera saber si se puede evitar al 100% la inyeccion sql o siempre va aver algun bug

No puedo ayudarte porque mandé lavar mi bola de cristal y no puedo hacer futurología .

La seguridad absoluta no existe.

pues almenos al enviar $_POST o $_GET utiliza mysql_real_escape_string($var);
y al momento de traer datos de la base de datos creados por los usuarios utiliza htmlentities($var)

esas son algunas funciones que tiene php pero pues igual no diste mucha informacion de que realmente piensas hacer, saludos!