Una variabile bind è un valore di parametro fornito a una query del database separatamente dal testo SQL. Invece di costruire un'istruzione concatenando l'input dell'utente, l'applicazione prepara la forma della query e associa l'input come dato. Il database tratta quindi quel valore come un letterale, non come SQL eseguibile.
Le variabili bind sono importanti perché sono una delle difese più efficaci contro l'SQL injection. Impediscono agli attaccanti di modificare la struttura di una query, bloccando i payload comuni che cercano di aggiungere clausole extra, sottoquery o frammenti SQL simili a comandi. Nei sistemi reali, il codice sicuro usa variabili bind per i campi di ricerca, i moduli di accesso e i filtri API; il codice non sicuro spesso sostituisce la concatenazione di stringhe o l'SQL dinamico. Negli ambienti Oracle, le variabili bind sono particolarmente importanti quando le applicazioni usano account condivisi o potenti routine lato server, perché ridurre la modificabilità della query aiuta a limitare i danni che un'istruzione iniettata può causare.