Infatti devi fare un web service non mandare la query in chiaro.

Per 2 motivi ...
Il primo l'hai detto tu
Il secondo e' che devi slegare la logica del server da quella del client se un domani devi cambiare database ? dovresti riscivere tutto diversametne se fai processi server e processi client che comunicano tra loro attraverso un protocollo da te definito anche se cambia la struttura del server il client non cambia.

Andrea