Mantenha dados separados da estrutura da consulta
Quando valores são inseridos diretamente em uma string SQL, aspas e caracteres especiais podem alterar a interpretação do banco. Um valor malicioso ou inesperado pode mudar a condição ou adicionar SQL não pretendido.
Uma consulta parametrizada mantém a estrutura fixa e envia valores por um canal separado. Use a sintaxe de marcadores documentada pela ferramenta de banco e forneça valores nos campos correspondentes.
Valide também identificadores e regras de negócio
Parâmetros geralmente representam valores, não nomes de tabela, coluna ou direção de ordenação. Se a consulta precisar escolher um identificador, mapeie a entrada para uma lista permitida fixa em vez de inserir texto arbitrário.
Vincular valores não substitui validação: confira formatos, intervalos e autorização antes de gravar. Revise a estrutura da consulta e teste entradas de limite para alterar somente os registros pretendidos.