Prima di concatenare con "WHERE..." la rimuovi con
codice:
$sql = substr($sql, 0, strlen($sql)-2);
occhio che il -2 è perchè usi nel for a stringa ", "
ovviamente se dovessi cambiare la stringa del for dovresti cambiare anche il -2. Inoltre così viene tolto anche lo spazio finale, quindi aggiungilo prima del where.