Hola amigos, estoy realizando una expresión regular contra inyección de sql, pero sólo logro que la haga en la primera línea, deseo que si aparece en cualquier lugar del string esta rebote, pero no lo logro.

Hasta el momento tengo esto

/^(?!.*WHERE.*)[A-Za-zÁÉÍÓÚáéíóúñ,.1234567890\s]+$/