怎么写SQL语句怎么把所有的东西都查询出来了？？

Question

OleDbConnection con = new OleDbConnection(@"Provider=Microsoft.Jet.OLEDB.4.0;Data Source=D:\;Extended Properties=dBASE IV;");
        string sql = "select * from [all] where @cx ";
        OleDbDataAdapter oda = new OleDbDataAdapter();
        oda.SelectCommand = new OleDbCommand(sql, con);
        OleDbParameter p1 = new OleDbParameter("@cx", OleDbType.BSTR);
        p1.Value = "Name like '%沪%'";
        oda.SelectCommand.Parameters.Add(p1);
        DataSet ds = new DataSet();
        oda.Fill(ds);怎么改呢？

Answer 1

我设计到拼接sql语句  但是语句中有必须包含单引号   而且拼接的内容来自于url参数这样的话如何避免注入？