>>55
SQLのパラメータ指定するのなら、PreparedStatement使いましょう。
SQLインジェクションにもなってハッピーです。