请教，从Web页接受参数查询数据库？

Question

直接拼字符号串吧.
string sql = "select CustomerId, Name, Email from t_customers where City = "+TextBox1.Text;

Answer 1

我改用字符串和DataReader，可是从txtArea上输入字符串查询的结果是提示“错误列名”string sql = "select CustomerId,Name,Email from t_customers where City=" + txtArea.Text;SqlCommand cmd = new SqlCommand(sql,sqlConnXiji);
sqlConnXiji.Open();
grdResults.DataSource = cmd.ExecuteReader();
grdResults.DataBind();
sqlConnXiji.Close();--------------------------------------------------------------------------------
列名 'Shanghai' 无效。 
说明: 执行当前 Web 请求期间，出现未处理的异常。请检查堆栈跟踪信息，以了解有关该错误以及代码中导致错误的出处的详细信息。 －－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
我在txtArea中输入Shanghai查询表中City字段值为Shanghai的记录，为什么提示我列名无效？

Answer 2

where City='" + txtArea.Text +"'";