SQL参数化查询

参数化查询是指在访问数据库时，在需要填入数据的地方，使用参数 (Parameter) 来给值。在使用参数化查询的情况下，数据库服务器不会将参数的内容视为SQL指令的一部份来处理，而是在数据库完成 SQL 指令的编译后，才套用参数运行，因此就算参数中含有恶意的指令，由于已经编译完成，就不会被数据库所运行。