AI / 编程与调试

逐处标出拼接出来的 SQL

把数据访问层里靠字符串拼出来的查询逐条找出来，标出可利用点

下面这段 [语言] 数据访问代码里有多处用字符串拼接生成查询。请逐条列出：拼接的变量来自哪里（请求参数、内部常量、配置）、能否被外部控制、在 [数据库类型] 下可注入的语法位置（ORDER BY、LIKE、IN），再给出参数化改写写法。不要只写一句"存在注入风险"，每条都要指出具体行与利用前提。