Attento a SQLi. Non interpolare input dell'utente direttamente nella query in quel modo.