Mark Every String-Built SQL
Mark Every String-Built SQL — Chinese original prompt
下面这段 [语言] 数据访问代码里有多处用字符串拼接生成查询。请逐条列出：拼接的变量来自哪里（请求参数、内部常量、配置）、能否被外部控制、在 [数据库类型] 下可注入的语法位置（ORDER BY、LIKE、IN），再给出参数化改写写法。不要只写一句"存在注入风险"，每条都要指出具体行与利用前提。
Site original
Chinese original
How to use
重点看 ORDER BY、表名、LIMIT 这类参数化不了的位置，那才是真难点。