在Debian上运行的PostgreSQL数据库中，防止SQL注入的最佳实践包括以下几点：
使用预编译语句（Prepared Statements）：预编译语句是一种将SQL查询的结构与数据分离的方法。这样，攻击者无法通过插入恶意数据来改变查询的结构。在PostgreSQL中，可以使用PL/pgSQL语言或其他支持预编译语句的编程语言（如Python、Java等）来实现。
参数化查询：参数化查询是一种将用户输入的数据作为参数传递给SQL查询的方法。这样，攻击者无法直接将恶意数据插入到查询中。在PostgreSQL中，可以使用占位符（如$1、$2等）来表示参数，并在执行查询时将实际值传递给这些占位符。
使用ORM（对象关系映射）库：ORM库是一种将数据库表映射到编程语言中的对象的方法。这样，你可以使用面向对象的方式来编写数据库操作代码，而不需要直接编写SQL查询。大多数ORM库都内置了防止SQL注入的功能。在Debian上，你可以使用诸如SQLAlchemy（Python）、Hibernate（Java）等ORM库。
输入验证：对用户输入的数据进行严格的验证，确保数据符合预期的格式和范围。例如，如果你期望一个整数，那么确保用户输入的是一个整数，而不是一个字符串或其他类型的数据。这可以防止攻击者通过构造特殊的数据来绕过其他安全措施。
转义用户输入：对用户输入的数据进行转义，以防止恶意数据被解释为SQL代码的一部分。在PostgreSQL中，可以使用quote_literal()函数或其他类似的函数来实现。
最小权限原则：为数据库用户分配尽可能少的权限，以减少潜在的安全风险。例如，如果一个用户只需要读取数据，那么不要给它写入数据的权限。这样，即使攻击者成功地注入了恶意SQL代码，他们也只能执行有限的、低风险的数据库操作。
定期更新和修补：保持PostgreSQL数据库和Debian系统的最新状态，以修复已知的安全漏洞。定期检查并应用官方发布的安全补丁和升级。
遵循以上最佳实践，可以大大降低在Debian上运行的PostgreSQL数据库遭受SQL注入攻击的风险。