为防止SQL注入攻击，开发者计划在用户登录查询中使用参数化查

SQL 注入攻击：
是黑客通过在用户输入框（如登录的账号 / 密码框）中输入恶意 SQL 代码，让数据库执行非法操作的攻击方式。
例如：在密码框输入' OR '1'='1，若系统直接拼接 SQL（如SELECT * FROM user WHERE username='xxx' AND password='' OR '1'='1'），会导致条件恒成立，黑客无需正确密码就能登录。
参数化查询：
是一种安全的 SQL 编写方式，将用户输入作为 “数据参数” 传递给数据库，而非直接拼接成 SQL 代码。
例如：登录查询写成SELECT * FROM user WHERE username=? AND password=?，其中?是参数占位符，用户输入的内容会被当作 “纯数据” 处理，不会被解析为 SQL 代码执行。