[devote]

ну в противном случае хотябы так прогнали бы:

implode( ',', array_map( 'mysql_real_escape_string', $arr ) )

Куда меньше возможностей сделать инъекцию.