Hoe tekenreeksvariabele te gebruiken in sql-instructie

Je kunt dit gewoon doen

query = "Select * From Table Where Title = " + someone;

Maar dat is slecht en opent je voor SQL-injectie

U moet gewoon een geparametriseerde query gebruiken

Zoiets zou je op weg moeten helpen

using (var cn = new SqlClient.SqlConnection(yourConnectionString))
using (var cmd = new SqlClient.SqlCommand())
{
   cn.Open();
   cmd.Connection = cn;
   cmd.CommandType = CommandType.Text;
   cmd.CommandText = "Select * From Table Where Title = @Title";
   cmd.Parameters.Add("@Title", someone);
}

Van Jon Skeet's antwoord, omdat zijn antwoord completer was dan het mijne

Zie de documenten voor SqlCommand.Parameters voor meer informatie.