Ich gehe davon aus, dass Du die ?-Notation bei DBI verwendest ;-) Dann brauchst Du eigentlich nix zu befürchten, dass Dir jemand ein verfälschtes SQL-Statement unterschiebt.