В запросе есть:
... like lower('%'||coalesce(?,'')||'%') ...

Если переменная содержит символ % - то получается фигня. Как сделать, чтобы спецсимволы в переменной не портили запрос?

в нормальном сервере для like есть параметр ESCAPE .

Да, есть. Как только его использовать с переменными, не могу найти в мане.

like lower('%'||coalesce(?,'')||'%') escape '!'

а в переменной Заменить("%", "!%")

за postgres точно не скажу, но в sqlite в соответствии со стандартом можно писать так
like lower('%' || coalesce(replace(?, '%', '\%'), '') || '%') escape '\'

(4) ну я примерно то же и написал

(3) теперь невозможен поиск строки содержащей один символ - '!' :)

(6) Ищи !!

(7) ну это понятно, просто пользователь так делать не будет

(8) Ты за пользователя сделай. Заменить(стр, "!", "!!")

(9) уже понял. Спасибо