プレースホルダを使うように変更(SQLインジェクション対策)

SQLの実行部分で変数を直接つなげてSQL文を作っていたため、任意のSQL文が実行される危険性があったので修正しました。
一応動作確認しましたがそちらでも確認していただけると嬉しいです。