Wie helfen parametrisierte Abfragen gegen SQL-Injection?

Parametrisierte Abfragen führen eine ordnungsgemäße Ersetzung von Argumenten durch, bevor die SQL-Abfrage ausgeführt wird. Es beseitigt vollständig die Möglichkeit einer "schmutzigen" Eingabe, die die Bedeutung Ihrer Abfrage verändert. Das heißt, wenn die Eingabe SQL enthält, kann sie nicht Teil dessen werden, was ausgeführt wird, da das SQL niemals in die resultierende Anweisung eingefügt wird.