Виталий Желтяков

Если интересует web-направление, то, конечно, PHP. Язык прост в изучении и сразу ориентирован под web. Не слушайте сторонников Python - они вечно пытаются протолкнуть свой язык во все области.

Если не web-направление, то Python.

- Данные проверяем на существования вначале.
- Затем проверяем данные которые имеют "белые списки" на соответствие им.
- Затем числовые данные проверяем на соответствие типов.
- Затем проверяем размерность числовых данных.
- Затем проверяем текстовые данные на размерность (если необходимо).
- Затем проверяем текстовые данные на наличие в них опасных слов (script|location|cookie|SELECT|UNION|UPDATE|exec|INSERT|tmp и т.д.).
- Затем проверяем данные на количество знаков "%". Если знаков % больше 10, то возможно это инъекция через метасимволы.
- Затем очищаем данные от крайних пробелов.
- Затем проверяем данные на пустоту (''). Если необходимо присваиваем значение по умолчанию.
- Затем проверки согласно алгоритмам.
- Затем вставка в БД с экранированием или "подготовленными предложениями" (PDO).

Теоретически такую защиту можно обойти, но надо быть гением с даром предвидения.

Во-первых, многое зависит от организации структуры БД. По факту, если руки растут откуда надо и база организована как надо, то ваши 20 секунд отработки - это какое-то фантастически высокое значение.

Во-вторых, про 1 миллион пользователей вы явно нафантазировали.

В-третьих, да тормозить будет всё, если всё находиться на одной машине.

В-четвёртых, установите на прототип проекта xdebug и с помощью трассировки определите точное время работы скрипта и планируемую нагрузку, а не берите цифры с потолка.

Храните в статичном файле php-массив и include-ом его добавляйте какой-нибудь переменной. Это будет самый быстрый вариант, т.к. нет никаких преобразований.