对SQL语句使用命令参数方式. 是不是就可以在一定防注入？ 也就是说不用在手工清除 ‘单引号’了
假设用户从表单提交过来的   txtTitle   值


后台这样处理.部分代码

string   SQL   =   "SELECT   *   FROM   article   WHERE   title=@title ";
OleDbParameter   param   =     new   OleDbParameter( "@title ",OleDbType.VarWchar);
param.Value   =     txtTitle;

是不是就不用手工清理与数据库向冲突的一些关键字了，例如单引号等


------解决方案--------------------
据说是可以防止注入的,用NBSI测试是没问题