@mom: NEIN!
QuotedStr ist für die Syntax von Pascal/Delphi-Strings,
dass es zufällig "oftmals" für
SQL-Strings ausreicht, verhindet keine Injection/Maskierungsfehler.
Jede
SQL-
DB und
SQL-
API/Komponente hat irgendwo eine passende "Escape"-Funktion.