Sua variável POST ($_POST['checkbox']) na verdade já é um array. Primeiro, para descobrir com o que você está realmente trabalhando, faça o seguinte:
echo '<pre>';
print_r ($_POST['checkbox']);
echo '</pre>';
Em seguida, visualize seu script e dê uma olhada na saída. Provavelmente, você verá uma matriz com algumas chaves e valores. Usando isso, você pode decidir como proceder.
Se fosse eu, faria algo como o seguinte para realizar sua tarefa:
$sql = "SELECT `table_id_column`, `another_column` ";
foreach ($_POST['checkbox'] as $key => $value) {
$sql .= ", `$value`";
}
$sql .= " FROM `hostess` ORDER BY `another_colmn` ASC";
Lembre-se de que permitir que uma instrução SQL seja modificada dessa maneira é uma prática muito ruim. Você vai querer introduzir alguma segurança nisso antes de colocá-lo em um ambiente de produção.
Lucas
