Только незабывайте, что после ордер бай, sql инъекция отлично работает через substring, поэтому необходимо фильтровать входные параметры.