Using bind parameter to enhance sql safety