=))) sql-inj в каждом случае своем уникальна. Если это, конечно, не уязвимость какого-нить распространенного скрипта. Если ты думаешь что тут сидят одни телепаты и могут угадать как построен запрос, куда выводится инфа и прочее, то ты ошибаешься.

P.S. IF работает только в диапозоне SELECT, ниже WHERE он не интерпритируется. Да и не нужен он там