Las consultas parametrizadas sustituyen correctamente los argumentos antes de ejecutar la consulta SQL. Elimina por completo la posibilidad de que la entrada "sucia" cambie el significado de su consulta. Es decir, si la entrada contiene SQL, no puede convertirse en parte de lo que se ejecuta porque el SQL nunca se inyecta en la declaración resultante.
