結果 : how does using a parameter prevent sql injection