正按SQL参数化查询实现。