为什么参数化查询可以防止sql注入，请举例说明

参数化查询是一种使用占位符代替实际的用户输入数据的查询方式，它将用户输入数据与查询语句分开处理，从而避免了 SQL 注入攻击。在参数化查询中，占位符的值由应用程序动态生成，而不是从用户输入中获取。这样，即使攻击者在用户输入中注入恶意代码，也无法对查询语句产生影响。

下面是一个使用参数化查询的示例代码：

import mysql.connector

# 连接数据库
conn = mysql.connector.connect(user='root', password='password', database='test')

# 创建游标对象
cursor = conn.cursor()

# 定义查询语句
query = "SELECT * FROM users WHERE username = %s AND password = %s"

# 定义查询参数
params = ('admin', '123456')

# 执行查询
cursor.execute(query, params)

# 获取查询结果
result = cursor.fetchall()

# 关闭游标和连接
cursor.close()
conn.close()

# 输出查询结果
print(result)

在上述代码中，`%s` 表示占位符，它会被真实的参数值替换。在执行查询时，我们将查询语句和参数分开处理，通过 `cursor.execute(query, params)` 将参数传递给查询语句。这样，即使攻击者在用户输入中注入恶意代码，也无法对查询语句产生影响。

例如，如果攻击者在用户名输入框中输入以下内容：

admin';DROP TABLE users;--

那么这条语句将被认为是无效的，因为它无法匹配到任何一条记录，也无法破坏数据库的结构。

因此，使用参数化查询可以有效地防止 SQL 注入攻击，它是目前最为常用和有效的防御措施之一。