sql 中的特殊字符 如何处理，请教！

Question

select * from Info where name=' ”+ textbox1.text + '''";  当这个文本框的值含 特殊字符时如何处理？

Answer 1

select * from Info where name=@name;

SqlParameter param=new SqlParameter("@name",textbox1.text);

Answer 2

你说的不适用啊，我的特殊字符我也不知道用户会输入什么样的特殊字符，另外位置也不确定，我如何放置这个转义字符呢？

Answer 3

使用绑定变量，不要拼接SQL。

Answer 4

textbox1.text外面再加一个过滤函数(如：sql注入、HTML过滤、业务逻辑验证等)。