Mantén separados los datos y la estructura de la consulta
Al insertar valores directamente en una cadena SQL, las comillas y caracteres especiales pueden alterar la interpretación de la base de datos. Un valor malicioso o inesperado podría cambiar la condición o añadir SQL no previsto.
Una consulta parametrizada mantiene fija la estructura y envía los valores por separado. Usa la sintaxis de marcadores documentada por la herramienta y proporciona valores en los campos correspondientes.
Valida también identificadores y reglas de negocio
Los parámetros suelen representar valores, no nombres de tablas, columnas ni criterios de orden. Si la consulta debe elegir un identificador, asigna la entrada a una lista permitida fija en vez de insertar texto arbitrario.
La parametrización no sustituye la validación: comprueba formatos, rangos y autorización antes de escribir. Revisa la forma de la consulta y prueba valores límite para modificar solo los registros previstos.