Когда вы используете параметры, они, как правило, не отправляются в виде текста.Они могут использовать собственный проводной протокол для базы данных.Если параметр сам является текстовым параметром, то он обычно инкапсулируется соответствующим образом в протоколе, чтобы база данных знала, что это параметр, а не SQL.
Хотя я полагаю, что поставщик может простопреобразовать параметры в полный оператор SQL, это был бы ужасный способ сделать что-либо.
Так что, в основном, «да» - параметризованные запросы эффективно защищены от атак внедрения SQL, если вы не сохранилипроцедуры, динамически выполняющие ваши параметры как SQL и т. д.