てか、入力値を素でSQLに与えてるのか?