使用预编译语句或参数化查询可以防止 SQL 注入，因为参数值在执行时会被自动转义，从而防止恶意用户注入恶意代码。