faccio esempio che è meglio:

esiste un utente per cui User = utente e Password = pass
ed esiste un amministratore per cui User = amministratore e Password = passAmm

diciamo che utente riesce ad accedere al DB per conto suo (senza utilizzare le mie pagine php, in modo da fare le query che vuole, scrivendole di suo pugno)

diciamo che l'utente è particolarmente simpatico e mi scrive:

UPDATE user SET Password='nonAvevoNienteDiMeglioDaFare'

secondo te funziona?
che dici ho reso sicuro il DB?

mica è detto che l'utente malizioso faccia

UPDATE user SET Password='nonAvevoNienteDiMeglioDaFare' WHERE User='utente'