それはXPathエンジンかアプリの実装の問題だろ。
ていうかググればいくらでも出てくるわけだが？

インジェクション対策なんてどれも同じ、外から入力される場合は不適切な文字は受け付けないorエスケープする。