php SQLSTATE[42S22]: Column not found: 1054 Unknown column 'kalert' in 'where clause' エラーが出る

Question

このようなコードで、データベースに保存した投稿を読み出すプログラムを作ったのですが、http://exanple.com/info.php?name=kalert
にアクセスしてもタイトルのようなエラーが出てしまいます。
どこを改善すればいいのでしょうか？

<?php
$name = $_GET['name'];
if(isset($name)){

require "/DBdeta.txt";
 $dsn = sprintf('mysql: host=%s; dbname=%s; charset=utf8', $db['host'], $db['dbname']);
try {

$pdo = new PDO($dsn, $db['user'], $db['pass'], array(PDO::ATTR_ERRMODE=>PDO::ERRMODE_EXCEPTION));
$stmt = $pdo->prepare('SELECT * FROM tools WHERE name = ?');
 $stmt->execute(array($name));
$row = $stmt->fetch(PDO::FETCH_ASSOC);
$sql = "SELECT * FROM tools WHERE name = $name";
$stmt = $pdo->query($sql);
                    foreach ($stmt as $row) {
                        $row['scr'];  
$row['description'];
$row['link'];
                    }
$image = $row['scr']; 
$desc = $row['description'];
$link = $row['link'];
echo $image;
echo $desc;
echo $link;
} catch (PDOException $e) {
            $errorMessage = 'データベースエラー';
            $errorMessage = $sql;
            // $e->getMessage() でエラー内容を参照可能（デバッグ時のみ表示）
             echo $e->getMessage();
        }
}else{
echo"無効なリクエスト";
}
?>

Answer 1

sqlで文字列を扱いたい場合はシングルクォートでくくる必要がありますがエスケープ等々含めたらプリペアドステートメント利用が確実で安全です。

Comments

[NaaYU]

出来ました。ありがとうございます！

[m.ts10806]

プリペアドステートメントの利用を検討してくださいね。そのまま使うことによりSQLインジェクションの脆弱性があるので