Как SQL-инъекция может произойти через поле ввода даты?

Поле даты уязвимо к SQL-инъекции, если сервер вставляет присланную строку в SQL конкатенацией. Виджет календаря на клиенте не защищает от произвольного HTTP-запроса.

Защита — параметризованный запрос и серверная проверка формата и допустимого диапазона даты. Значение передают отдельно от SQL, чтобы оно не интерпретировалось как часть команды.

Валидация дополняет параметры, но не заменяет их. Отдельно ограничивают права пользователя БД и не возвращают посетителю подробные сообщения с текстом запросов.