>生sqlで組み立てれば
ユーザーから取得した文字列で、SQL 文を構築すると、
SQL インジェクションされるから損害賠償請求される

プロが絶対にやってはいけない事だから

クラッカーは「SQL文; SQL文」みたいに、うまくエラーが起きないように、; で続けてくるから、
絶対にplace holder を使わないといけない

それでチェックできる