Ich erlaube mir folgende zwei Anmerkungen, ohne wirklich Ahnung zu haben:
Wenn du aus der PHP-Ecke kommst, sollte dir eigentlich bewusst sein, dass SQL-Injections und die direkte, ungefilterte Einsetzung in DB-Queries von Eingaben/Daten/Werten aus unbekannter Quelle dringend zu vermeiden sind...