Когда вводишь данные, ставь их в "", тогда SQL будет читать их как строки.
UPDATE data SET inventory = "{inventory}" WHERE id = "id";
И даже если вставить вместо id какой-то код для изменения базы, то SQL будет искать что-то типа:
... id="6346327; DROP DATABASE base";
Еще в cursor() есть свой ввод данных
cursor.execute("UPDATE data SET inventory = :inventory WHERE id = :id", {"inventory" : inventory-1, "id" : id})
#или
cursor.execute("UPDATE data SET inventory = ? WHERE id = ?", (inventory-1, id))
Если же надо полностью запретить использование команд SQL, то проверяй каждый запрос на их наличие.
Еще можно выдать определенные права пользователю SQL и тогда он сможет только читать, обновлять и добавлять, что, на мой взгляд, не так страшно, как полное удаление базы.
ps. не юзай root пользователя для запросов :D