Evitar la inyección de SQL en un SQL-regex generado por el usuario

Si usa declaraciones preparadas, la inyección de SQL será imposible. Siempre debe usar declaraciones preparadas.

Roborg hace un excelente comentario sobre las caras expresiones regulares.