怎么防止sql注入

如何防止sql注入
c＃做了一个小网站，
发现可以用 '   or   '1 '= '1登陆。
怎么办，？？

[解决办法]
拼sql语句很危险的，就算你把 '换掉也不行啊，有时你确实要查 '号。。。
直接用参数，听三楼的，或者是存储过程。。。