1. Если параметр полностью передаться в базу, то как обычно. Обычно числовые параметры не обрамляются кавычками, из за этого при проведении инъекции возможно исключить этот символ. Если нет - выложи линк. Всё надо смотреть, так же возможно из переменной удаляются символы(A-Za-z), специальные функции - здесь телепатов нет.

2. Встроенными функциями, синтаксисом подзапросов, сравнения - потом БД гораздо больше.