SQLインジェクション対策にPOD::bindParam()かPOD::bindValid()が必要。 bindParam()：変数の参照をバインド。値はexecute()時に決定。 bindValid()：値をバインド。バンドした時点で値が確定される。 prepare($sql); $condition = 'CONDITION'; $stmt->bind…