使用预编译语句（参数化查询）可以有效防止SQL注入，因为恶意代码无法直接拼接到SQL语句中。