動的なSQLの組み立てをprepared statementに変更

文字列連結で組み立てるSQLをprepared statementに変更しました。
申し訳ないですがテストはしてません。