プルダウンだろうが何だろうがCGIデータは信用できないので
バリデーションをやって数値である事を確認する
その後はエスケープはしないな