Wieviel (Text format) PHP-Code ist in einer Node vertretbar?

Hallo an alle,

kurze Vorgeschichte:
Ich arbeite jetzt seit 'ner knappen Woche mit Drupal 7, habe vorher mit Typo3 gearbeitet (6 Monate), habe sonst nur Java-Software (6 Jahre) und PHP-Software (2 Jahre) entwickelt. Mit Typo3 konnte ich leider nicht mal so schnell das realisieren, was ich wollte. Da war es für mich einfacher alles selbst zu programmieren (Artikel verfassen, abspeichern, anzeigen etc.) - vorallem war ich frei in dem was ich programmierte. Problem hierbei ist nur, dass ich mich mit dem Thema "Sicherheit" nicht wirklich auseinander gesetzt habe, wodurch für mich das Thema "Projekt selbst programmieren" wieder weggefallen ist. Denn was bringt es mir, wenn ich eine Webapplikation schreibe, die ich nicht nicht veröffentlichen kann, weil ich Angst haben muss, dass diese "durchlöchert" wird.
Typo3 ist, wie gesagt, nicht so einfach zu handhaben und eine Community, bzw ein "mehr Nutzer"-Projekt zu erstellen, ist für mich aktuell (ziemlich) unmöglich. Zwar bin ich in der Lage mit TypoScript "hübsche" Layouts zu basteln, aber an das Thema "Extensions" habe ich mich nicht rangetraut.
Aktuell beschäftige ich mich, wie gesagt mit Drupal 7. Der erste Eindruck: WOW! Mehrere Nutzer kann ich problemlos handeln, Artiel schreiben lassen und und und. Jetzt hakt es leider an so Kleinigkeiten, dass ich keien Nutzerliste habe, oder dass die Artikel, die ein Nutzer geschrieben hat, nicht im Profil angezeigt werden und und und. Ein Problem habe ich hier in diesem Forum schon angesprochen: SQL-Statements als View-Feld und/oder View-Filter implementieren?, leider bin ich auf noch keine Lösung gestoßen - aber gut - der Thread ist ja auch gerade mal 2 Tage alt, also mal nichts überstürtzen ;-)
Jeden Falls habe ich mir dieses Buch hier zugelegt, um genau die Probleme zu lösen, die noch offens sind:
Pro Drupal 7 Development (Expert's Voice in Open Source)
Allerdings ist schon sehr mühselig mit den paar Jahren Schul-Englisch sich durch das Buch zu arbeiten, es geht zwar, aber Englisch ist halt nicht meine Muttersprache. Habe jetzt das Kabel 2 "Writing a Module" durchgearbeitet. Das hat auch geklappt, allerdings habe ich noch 100'000 Fragen, möchte aber natürlich nicht das Forum mit meinen Beiträgen vollmüllen und hoffe, dass meine Fragen im Verlauf des Buches noch beantwortet werden.
Aber bevor ich mir jetzt die Zähne an dem Buch ausbeiße und die Motivation an Drupal verliere (so ähnlich war es ja schon mit Typo3) habe ich mich nach Alternativen umgeguckt und bin auf das Modul "PHP filter" gestoßen. Das tolle ist, dass ich jetzt selbst Userlisten und vieles mehr anfertigen kann. Einfach nur 'ne Verbindung zur Datenbank aufbauen und die SQL-Statements rausfeuern und die Rückgabe ausgeben - Fertig. In meinen ersten Versuchen hat das auch 1A geklappt.

Jetzt wollte ich mal fragen in wie weit ich SQL-Statements über den PHP-Filter abfeuern kann, ohne dass die Sicherheit von Drupal in Mitleidenschaft gezoegen wird oder ist der Aufbau zur Datenbank schon zu viel? Möchte auch nur hardcodierte SELECT-Befehle rausschicken, ohne Input vom User.

Gruß Klaus