Pour tous les champs : y a-t-il des caractères malicieux pour le SQL ? (voir phpsecure.info pour comprendre l'injection SQL)
Et puis, le form est-il remple, c'est pour éviter de lancer les tests si la personne a cliqué sur envoyer sans rien remplir.