In pratica non è mai consigliabile effettuare delle query sul DB senza verificare a priori la concretezza dei dati passati in input. Dai un'occhiata QUI