SQLBindParameter不能防SQL注入，因其仅安全传递参数值，前提是SQL语句必须使用?占位符；若用字符串拼接构造SQL（如"name='"+name+"'”），即使调用该函数也无效。
SQLBindParameter 为什么不能防 SQL 注入
SQLBindParameter 本身不负责防注入，它只是把参数值安全地传给驱动，但前提是你的 SQL 语句里得用 ? 占位符。如果写的是 "SELECT * FROM users WHERE name = '" + name + "'" 这种拼字符串的 SQL，哪怕后面调了 SQLBindParameter，也完全没用——因为参数根本没进绑定流程。
常见错误现象：程序能跑通、查出数据，但输入 ' OR 1=1 -- 就返回所有行；或者报错 [Microsoft][ODBC Driver Manager] Invalid string or buffer length，其实是绑定时类型/长度不匹配，掩盖了真正的注入风险。
- 必须用
SELECT * FROM users WHERE name = ?这类带问号的预编译语句，再调SQLPrepare+SQLBindParameter - 不要在 SQL 字符串里做
std::string::append或sprintf拼接用户输入 - 绑定前确认
SQLDescribeParam能成功（部分老驱动不支持，需降级为服务端预处理）
SQLBindParameter 参数配错导致绑定失效
参数类型不一致是最隐蔽的坑：比如数据库字段是 VARCHAR(50)，却传 SQL_C_WCHAR 和 sizeof(wchar_t) 算的缓冲区长度，结果只绑定了前半截字符，后半截被截断或触发越界读。
使用场景：插入含中文的用户名、查询时间范围（SQL_C_TYPE_TIMESTAMP 对应 SQL_TIMESTAMP）、处理 NULL 值（StrLen_or_IndPtr 必须设为 SQL_NULL_DATA）。
立即学习“C++免费学习笔记（深入）”；
-
ParameterValuePtr指向的内存必须在整个SQLExecute过程中有效（不能是局部std::string的c_str()） -
StrLen_or_IndPtr如果指向一个SQLLEN变量，值为SQL_NTS表示字符串以 \0 结尾；为负数（如SQL_NULL_DATA）表示该列为 NULL - OEM 字符集驱动（如旧版 SQL Server Native Client）对
SQL_C_CHAR更友好，Unicode 驱动优先用SQL_C_WCHAR
预编译语句未重用引发性能与兼容性问题
每次执行都重新 SQLPrepare + SQLBindParameter，不仅慢，还会让某些 ODBC 驱动（如 PostgreSQL ODBC）跳过真正的参数化，退化成客户端模拟拼接——等于白防。
性能影响：SQL Server 上单次 SQLPrepare 耗时可能达毫秒级，高频查询下累积开销明显；兼容性影响：MySQL Connector/ODBC 8.0+ 默认启用服务器端预处理，但旧版本或配置 UseServerPrepStmt=0 会静默回退。
- 把
SQLPrepare和绑定逻辑提到循环外，同一 SQL 模板复用同一个HSTMT - 执行前用
SQLFreeStmt(hstmt, SQL_UNBIND)解绑旧参数，再重新SQLBindParameter - 检查
SQLGetInfo(hdbc, SQL_SERVER_NAME, ...)和SQLGetInfo(hdbc, SQL_DRIVER_NAME, ...)确认驱动能力
NULL 值和空字符串混淆导致逻辑错误
用户输入为空时，是该传空字符串 "" 还是 NULL？很多业务逻辑把两者等价，但数据库层面 WHERE col = '' 和 WHERE col IS NULL 完全不同，而 SQLBindParameter 绑定空字符串和绑定 NULL 的写法差异极小，极易写错。
容易踩的坑：StrLen_or_IndPtr 指向的变量初始化为 0（意味着空字符串），但实际想表达“未知/不填”，应该初始化为 SQL_NULL_DATA；或者反过来，用户明确填了空格，却被当成 NULL 插入。
- 业务层先区分语义：空字符串是有效值（如允许昵称为空），NULL 是缺失值（如出生日期未填写）
- 绑定前检查原始输入，用
if (input.empty()) { *ind_ptr = SQL_NULL_DATA; }显式控制 - 避免依赖
SQL_NO_NULLS或SQL_NULLABLE元数据判断是否可为空——那是列定义，不是当前值意图
真正麻烦的从来不是调不调 SQLBindParameter，而是有没有在 SQL 构造、参数类型、生命周期、语义映射这四个环节全部对齐。少一个，防注入就形同虚设。
