API - e seguro aceitar que o usuario possa digitar as SQL?

Arriscado em, se pega alguém má-intencionado…
Mas, respondendo objetivamente: Não, nem um pouco seguro. O menor erro e adeus bd

Se fizer uma implementaçao simples nao é seguro.

Você provavelmente vai gastar mais tempo deixando isso seguro do que fazendo uma API tradicional.

Resposta simples: NÃO!

Isso NÃO e’ seguro.

Salvo se você filtrar o conteudo das querys antes de submetê-las.

É “seguro” se você cobrir 120% dos testes em que pode dar merda.
O que o pessoal quer dizer é que essa validação e segurança toda não vai valer a pena.
É muito investimento para uma coisa pequena.
Se não ser extremamente necessário seu sistema ter isso, não faça.

Se for só pra selects, cria um usuário no banco que tenha somente permissao de leitura. No backend voce conecta com esse usuário, somente para este módulo. Seria bom também limitar o timeout da query.