法目前已被视为最有效可预防SQL注入攻击的攻击手法的防御方式。除了安全因素，相比起拼接字符串的SQL语句，参数化的查询往往有性能优势。因为参数化的查询能令不同的数据通过参数到达数据库，从而共用同一条SQL语句。大多数数据库会缓存解释SQL语句产生的字节码而省下重复解析的开销。如果采取拼接字符串的SQL语句，则会由于操作数据是SQL语句的一部分而非参数的一部分，而反复大量解释SQL语句产生不必要的开销。
原理.在使用参数化查询的情况下，资料库伺服器不会将参数的内容视为SQL指令的