>>316
319も指摘しているけど、こんな事をやってるからSQLインジェクションが起こる
「PDO プリペアドステートメント」でググろう
ついでに「SQLインジェクション」についても勉強しとこう