Webアプリケーションにおけるセキュリティ上の脅威とその対策に関する記述のうち，適切なものはどれか。

なぜ違う: 推測困難なセッションIDはセッションハイジャック対策であり，OSコマンドの不正実行を直接防がない。

なぜ違う: XSSには出力時のエスケープなどが必要であり，サーバ内ファイルへの直接参照を禁止する対策とは異なる。

なぜ違う: シェル起動の制限はOSコマンドインジェクション対策に関係し，セッションIDの窃取・推測対策ではない。

プレースホルダを使ったパラメータ化クエリでは，SQL文の構造と利用者が入力した値を分離してデータベースへ渡す。入力値がSQLの命令として解釈されないため，SQLインジェクションの有効な対策となる。