Re: faudrait donner quelques explications.

C'est peut-être juste un problème de nomenclature mais j'ai l'impression que tu comprends mal ce que tu cites. En très gros :

ça c'est vulnérable à Bobby Tables :

var query = "select * from users where id = " + params.id;

tu peux le corriger avec des prepared statements comme ça :

var query = new PreparedStatement("select * from users where id = ?").setParams([params.id]);

Ce que ce que tu grasses dit c'est que tu te flingues le pied gauche après avoir sauvé le pied droit en faisant ça :

var query = new PreparedStatement("select " + params.fields + " from users where id = ?").setParams([params.id]);

Bien qu'une très mauvaise relecture du code dirait "ah c'est bien il utilise un PreparedStatement c'est sécurisé".