SQL中，like的SQL注入防止，使用预编译SQL(?)的写法

Mysql数据库

str = "and indexNum like concat('%',?,'%')"

Oracle

str = "like '%' || ? || '%'"

SQL Server str = "like '%' + ? + '%'"