預處理語句（prepared statement）是一種在執行 SQL 語句之前預編譯的機制，可以有效防止 SQL 注入問題。
SQL 注入是一種攻擊技術，攻擊者通過在用戶輸入的數據中插入惡意的 SQL 代碼，從而破壞數據庫的完整性和安全性。SQL 注入攻擊可能導致數據泄露、數據損壞、系統癱瘓等安全問題。
使用預處理語句可以有效地防止 SQL 注入攻擊，因為預處理語句將 SQL 代碼和用戶輸入數據分開處理，不會將用戶輸入的數據直接拼接到 SQL 語句中，而是使用參數化查詢。參數化查詢是通過將用戶輸入的數據作為參數傳遞給 SQL 語句，而不是將數據直接拼接進 SQL 語句中，從而避免了 SQL 注入攻擊。
在預處理語句中，將 SQL 語句和參數分開處理有助于數據庫引擎識別參數的數據類型，并對輸入的參數進行適當的轉義和驗證。這可以防止惡意的 SQL 代碼被執行。預處理語句通常使用占位符（如問號 ?）來代替參數，然后在執行時將參數傳遞給占位符。
使用預處理語句可以有效地防止 SQL 注入問題，提高數據庫的安全性和可靠性。然而，預處理語句并不能解決所有的安全問題，開發人員仍需注意其他安全措施，如輸入驗證、權限控制等。
