non č un po pericoloso creare la query sql direttamente da javascript ?