eigentlich sollte es keine Probleme geben. Wenn man es so macht wie esskar, dass man die erlaubten Felder benennt und dann das Statement zusammenbaut, passiert nix.

Wenn Du alles statisch machst, musst Du "hunderte" Statements schreiben - für jede mögliche Kombination von ausgefüllten Felder eins!

Und da durch die ?-Notation auch gleichzeitig ein Quoting gemacht wird, ist es recht sicher. Der User kann ja kein Statement komplett selbst festlegen.