Intanto devi controllare se la variabile va ad agire su un database.

Seconda cosa dovresti in qualche modo evitare di lasciare "liberi" gli apici.

Altra cosa, che cosa ti aspetti che esca da quello script, per poter dire che è sicuro?