为什么sql的参数化查询能够防止sql注入

听闻：

（1）参数化查询并不是拼接字符串，而是将sql模板和参数这两部分，分开提交给数据库，由数据库处理。

（2）数据库对sql模板，进行分析处理。（影响很大，接近全部）

（3）数据库对参数，只作为值类型的值来进行比较，不进行分析处理。（值的结果会影响索引，但不会改变执行计划的本意）

sql注入是，参数提供了额外的运行逻辑，不解析参数，就安全了。