SQLインジェクションの対策

$sql = "SELECT * FROM table_name WHERE name= ? AND password= ? ";

SQL生成の際にプレースホルダを利用する。 ‘?’の部分は単純な文字列として扱われ、不正なパラメータを問題なく処理する。