यूज़र इनपुट के लिए सुरक्षित तरीका चुनना

एक पाइपलाइन यूज़र कॉन्फ़िगरेशन से product name लेती है ताकि SQL क्वेरी को फ़िल्टर किया जा सके। आपके सहकर्मी दो तरीके सुझाते हैं:

Approach A params (Jinja rendering) का उपयोग करता है:

SQLExecuteQueryOperator(
    sql="SELECT * FROM orders WHERE product = '{{ params.product }}'",
    params={"product": user_input},
)

Approach B parameters (DB-level binding) का उपयोग करता है:

SQLExecuteQueryOperator(
    sql="SELECT * FROM orders WHERE product = $product",
    parameters={"product": user_input},
)

जब product name untrusted user input से आता है, तो कौन सा तरीका injection-safe है?