问这个SQL结构是否容易进行SQL注入？

EN

备注：对于示例(Oracle、Server、MySQL、Postgres)来说，任何SQL后端都是可以的，不过对于我的示例，我将使用MySQL进行测试。

我想知道下面的构造是否容易使用SQL注入：

SELECT
    field1,
    field2,
    %s
FROM
    tbl

用户可以在那里输入一个原始字符串。我很好地允许错误的输入，但我想看看用户是否可以对此做任何有害的事情，只要我删除某些字符，如;。因此，如果用户试图执行：

SQL % ('DROP TABLE users; ')

SQL只会变成无效的sql，但不一定是恶意的：

SELECT
    field1,
    field2,
    DROP TABLE users
FROM
    tbl

但是，如果有一个天才用户能够在这里组合任何字符串，那么上面的代码对恶意SQL注入是否安全?如果没有，那么这里的示例字符串会被用来这样做吗？