我知道有两种常见的方法：1。逃生2。但是我需要允许用户自己编写sql查询。
例如，用户可以这样写：

SELECT aaa, 'bbb', CONCAT('mmm', nnn) FROM XXX;

我找不到“bbb”和“mmm”，也无法将其参数化。有什么办法可以做得很好吗？