Nesse caso, estou passando o WHERE através da variável $where. O sistema pode sofrer SQL Injection? Como evita-lo nesse caso?

Por exemplo: `select nome from usuario where $where;`

    $where = "cod = 10";

    public static function getUsuario($where){
        return Usuario::all(array(     
            'select' => 'nome',
            'conditions' => array($where)
        ));
    }