Hello,

Benutzereingaben unbehandelt in SQL-Statements zu übernehmen ist fahrlässig.
Die Eingabe ist zudem auf drei Zeichen beschränkt

Wo? Am Client oder am Server?

Harzliche Grüße aus
Sankt Andreasberg
und Frohes Neues Jahr

Tom

--
Nur selber lernen macht schlau