$sql = 'SELECT * FROM goods WHERE 1;' . $where;
すべて見きれてないですが、この部分がおかしいと思います。where 1になっているので、全てが返って来てしまいます。
まずは
$sql = 'SELECT * FROM goods WHERE 1 ' . $where . ';';
のようにするのでいかがでしょう?
$sql = 'SELECT * FROM goods WHERE ' . $where . ';';