Параметры SQL: данные отдельно от текста запроса

Приложение передаёт структуру запроса и значения через предусмотренный интерфейс библиотеки. СУБД обрабатывает значения как данные, а не как продолжение текста команды. Это важный приём при работе с формами, фильтрами и идентификаторами ресурсов.

Некоторые части запроса, например выбор имени столбца для сортировки, требуют отдельного списка допустимых вариантов. Нельзя считать любое динамическое построение безопасным только из-за наличия параметров в другом месте. Также полезно ограничивать права пользователя базы до реально нужных приложению действий.