다음 중 사용자 입력을 SQL 구조와 분리하는 가장 직접적인 구현은?

정답 1번

준비된 문장은 SQL 구조와 데이터 값을 분리한다. 예를 들어 WHERE name = ?에 입력을 바인딩하면 입력에 따옴표나 OR가 있어도 하나의 값으로 취급하며 조건식으로 이어 붙이지 않는다. 문자 치환만으로는 DBMS·문맥 차이를 모두 처리하기 어렵고, 오류 숨김이나 클라이언트 검사는 서버의 SQL 조립 취약점을 없애지 못한다. 바인드 변수는 일반적으로 값에 사용하며 테이블명·열명 같은 SQL 식별자가 동적이어야 할 때는 별도의 허용 목록으로 선택해야 한다.