Ответ 1
Если вы используете запросы, django автоматически удалит ваши переменные. Если вы используете RAW-запросы или такие вещи, как метод .extra, вам придется проявлять особую осторожность и, например, использовать привязку параметров. Более подробную информацию обо всем этом можно найти здесь (также очень хороший ресурс о других проблемах безопасности).