今回のようなケースでは、常にパラメータークエリーを使うべきだと思います。気を付ける文字はいろいろあるわけで、それらすべてを自前でサニタイズするのはあまり現実的ではありませんから、常にパラメーターとして渡すのが安全かつ確実です。埋め込みとすることもできますが、それはまた別の話。例と言えるのかは、正直疑問です。来館記録_T--";だったとしても、それによってテーブルがドロップされたりするわけでは無いですよね。以外のデータベースにおいては、「--」がコメントを表す記号として解釈されることがあるので、そういう場合には警戒すべきだったのかもしれません。文中のコメントをそもそもサポートしていないので、この点は心配無いでしょう。データベースではマルチステートメント構文として処理されることはありません。ステートメントの後に文字が見つかりました。』の構文エラーで弾かれる程度と認識しています。ステートメントぐらいではないですかね。接続時に使うことはまずありません。出現順の位置パラメーターとしてしか処理されないので、メリットは皆無です。ステートメント実行文字となる垂直バー(|)の方が問題でした。実行されたりはしません。モードによる保護も追加されていますしね。さんに確認したいのですが、これは何が起きることを想定しておられますか?以下の記事を見ていただければと思います。魔界の仮面弁士さんが言われるほど詳しく考えてませんけど。上に紹介した記事に書いてある「高いスキルを持つ決然たる攻撃者は、パラメータ化されたデータであっても操作できるのです」とか言われると、それ以前のパラメータ化をしないなんて言うのは問題外と思ってます。09:59:27)っていうか初等教育って大事って話ですよね。(文字列結合は教えない)今どきなら、最初からこのように教えられるべき。1つプログラム完成させたのちに文字列結合はダメな理由を教えると、文字列結合を使おうという発想自体が消滅します。逆順はダメまあデーターベース系ソフトを一度も組んだことないオイラの言う話ぢゃないですけど。