>$sql = 'SELECT * FROM goods WHERE 1;' . $where;

すべて見きれてないですが、この部分がおかしいと思います。where 1になっているので、全てが返って来てしまいます。

まずは

    $sql = 'SELECT * FROM goods WHERE 1 ' . $where . ';';

のようにするのでいかがでしょう?