Ну дк. не все же юзают pdo\mysqli и прочие билиотеки с поддержкой поготовленных выражений, и вообще любой програмист знает что подготовленные параметры для дураков... фильтрация рег-ками намного надежней! PDO::query вполне себе разрешает любой запрос выполнить.

И выстрелить себе в ногу, тем более куча сайтов по прежнему юзают mysql_, не фильтруют параметры... Ну и не на php же только они пишутся.