请教一个问题？

Question

请问我这个写在good.aspx.cs中的sql查询语句可对呀？该怎么写？
strSql1 = "select conid from consumers where conname='" + UserName1.Text.Replace("'", "''") + "'" + " and conpass='" + Password.Text.Replace("'", "''") + "'";

Answer 1

strSql1 = "select conid from consumers where conname='" + UserName1.Text.Replace("'", "") + "'" + " and conpass='" + Password.Text.Replace("'", "") + "'";

Answer 2

string strSql1 = "select conid from consumers where conname='" + UserName1.Text.Replace("'", "''") + "' and conpass='" + Password.Text.Replace("'", "''") + "'";