Inj там неможет быть.
При использование ', может появится ошибка foreach.
Для улучшения работы можно убирать кавычки через str_replace