Пожалуйста, подскажите
sql запрос формируется из данных, полученных через GET.
С защитой от Sql инъекций одиночных параметров все понятно, примеров много.
А вот как передавать в db_query если параметров много.
Например кусок запроса

 AND taxonomy_index.tid IN (".$tags.")

Причем $tags может принимать значения и '1', и '1,2', и '1,2,5,7,9'