[laimas]

Может вам документацию почитать? Если вы в запросы будете подставлять не только параметры, но и имена полей, которые берете из запросов пользователя, и все это не фильтровано, то это прямой путь к sql-инъекции.