Ответ

G_Z 04.11 15:59

Вы собираете запрос и отправляете его в БД — в ваших руках полный контроль и запрет.

Что попало через простую точку с запятой извне не передадут, если, конечно, разработчик сам не очистит все внешние данные.

Если же у вас доверенное окружение, но неизвестное количество запросов в одном вызове — нужно предварительно проверять такой вызов и выбрасывать лишнее.

---