使用参数化查询防御SQL注入时，需要注意对每个数据库查询使用参数化查询，对每一种数据都进行参数化，并且参数占位符不能用于执行查询中表和列的名称。