Question

SQL 语句不能包含参数占位符？ 这句话什么意思？？

Answer 1

qlparameter是为了防止你的数据类型不对。
string.format(sql, '{0}',{1})是不工会管这些的,这样会造成如果有人恶意拼写参数，会执行某些恶意的sql,你的网站就危险了。