★用存储过程防止SQL注入是笑话吗？

以前和大家一样，听人说用存储过程+参数能防止SQL注入，听的多了，也就深信不疑，
就算不是绝对的，至少也有很强大的防御力吧。很多人说自从用了参数+存储，不必过滤字符了，腰也不痛了。

今天仔细想了想，在“代码中用变量拼接组合SQL命令”的确危险，有漏洞。
但“存储过程+参数”实质不是一样的吗，虽然传递过程两者有区别，一个是传递组合好的SQL命令字符串，
一个是传递 "存储过程名+参数"，不过到了数据库，在存储过程的代码中，最终不是还要将这些参数组合拼接成
一段SQL命令吗？
就好比一个炸弹，一种方法是直接把成品运到某处，另一个是把炸弹的各零件运到某处，某处再拼合，最终还是炸弹

譬如：
string myname="a' or 1=1";
在代码中拼接SQL命令：
mysql="select * from table where name='"+myname+"'";
即mysql= "select * from table where name='a' or 1=1"；

如果我们用参数+存储的方式：
@p1="a' or 1=1"
set @sql="select * from table where name='"+[@p1]+"'"
exec(@sql)
这样exec(@sql)难道不等效于 exec (select * from table where name='a' or 1=1) 吗?
如果是，那和在代码中组合SQL命令有何区别？

搜了一下资料，说参数+存储安全性高的大有人在，但认为参数+存储在安全性上并没多大意义的人也不少
，他们认为仍需要进行严格的字符过滤。大家上网搜一下就能看到了。

实在是很困惑，请大家各持己见。谢谢。尽量不要用“可以，因为参数是传值”或"你不了解参数的意义"等空洞的回答，再次感谢。