>>951
即レスどうもです。
確かにSQL文中の変数をシングルクォートでくくっておいて、
入れる変数を全てhtmlspecialcharsで処理すれば問題はなさそうですね。

ところで最近買った本には
「入力した値をデータベースに格納する場合には、スクリプトの無効化はデータを表示するときに行う」
と書いてありました。
格納時にエスケープしてしまうと
「ブラウザを経由せずにデータ入力した場合にエスケープが行われない」
「ブラウザ以外に出力する場合にエスケープしたキャラクタを元に戻す必要がある」
だそうです。
言ってることは正しいけど、意図しないSQL文を入力されてしまう可能性を考えたら
SQL文発行前に処理しておいた方がいいのでしょうか？