Das ist kein SQL-Injection. Da wird "ganz normaler Text" in der DB gespeichert. Die JavaScript-Überprüfung reicht nicht aus, weil viele Bots das JavaScript nicht auswerten. Du solltest die Überprüfung des Inhalts auch noch im Perl-Skript machen.

Auch wenn das Spam-Problem nichts damit zu tun hat: Ich würde Zugangsdaten auslagern und in einer Konfig-Datei ablegen, die "von außen" nicht erreichbar ist.