对SQL语句使用命令参数方式. 是不是就可以在一定防注入？ 也就是说不用在手工清除 ‘单引号’了
假设用户从表单提交过来的 txtTitle 值


后台这样处理.部分代码

string SQL = "SELECT * FROM article WHERE title=@title ";
OleDbParameter param = new OleDbParameter( "@title ",OleDbType.VarWchar);
param.Value = txtTitle;

是不是就不用手工清理与数据库向冲突的一些关键字了，例如单引号等


[解决办法]
据说是可以防止注入的,用NBSI测试是没问题