Question

为什么参数化查询sql能够防止sql注入

Answer 1

因为sql语句在后端早就生成了，需要哪几个参数值都是预设好的，前端只能传入符合条件的参数；如果请求的参数不合法，程序不会执行。