SQL Injections basieren auf sowas: http://www.irgendwas.de/search.php?get=title='123'
da könnte man sowas machen als Beispiel: http://www.irgendwas.de/search.php?get=title='123' or ''=''
dann werden einfach alle Einträge angezeigt. Solange man nicht direkt die Parameter an
SQL weitergibt kann nichts passieren.