预编译sql语句和参数化sql能有效防止——sql注入攻击——

预编译和参数化处理sql原理相似：

    参数化处理sql 是将参数进行了字符串化处理，把参数中的单引号，井号#，等都作了转义处理，进而在执行sql语句时不会被当作sql中的定界符和指定符来执行。

    好比，使用直接拼接的sql时：

string sql="select * from tb where username='" + username + "'"

    若是username值为aa';truncate table admins --，那么sql语句就变为 sql = "select * from tb where username='aa';truncate table admins --'"，后果很明显。

    而使用参数来传递username，至关于对引号等符号都加了\，或者至关于作了.tostring()操做。