Eso de cumplirle al cliente todo lo que quiere, es de un
bárbaro, como cuando quieren que diseñes un logo que sea el que ellos te dieron, no entiendo por que contratar a alguien que sabe lo que tú no, si le quieres decir como hacer su trabajo, en fin, yo creo que el query está más seguro en un archivo php.
¿si no por que estaria ahi?
un xml u otro archivo se puede abrir muy facilmente por navegador, en fin.