Enterprise Library 3.1 数据库查询如何添加参数？

Question

代码：
Database db = DatabaseFactory.CreateDatabase();
string sql1 = "select ShortNum_ZG_List from CENTREX_LIST where WACID='" + Request.QueryString["wacid"] + "' and Centrex='" + Request.QueryString["id"] + "'";
Label4.Text = (string)db.ExecuteScalar(CommandType.Text, sql1);
但是这样会有SQL注入漏洞，如何添加参数?先谢啦！！
(类似于： comm.Parameters.Add("@id", SqlDbType.VarChar).Value = Request.QueryString["id"];)

Answer 1

 public override int Insert(LookUpTableBatch lutb,DbTransaction dbtran)
        {
            DbCommand dbc = database.GetStoredProcCommand(SP_INSERT);            database.AddOutParameter(dbc, "OLBATCHID", DbType.Int32, 4);
            database.AddInParameter(dbc, "IUSERID", DbType.Int32, lutb.USERID);
            database.AddInParameter(dbc, "ICREATEDATE", DbType.DateTime, lutb.CREATEDATE);
            database.AddInParameter(dbc, "IBATCHNAME", DbType.String, lutb.BATCHNAME);
            database.AddInParameter(dbc, "ISTATUS", DbType.Int32, lutb.STATUS);            int result = database.ExecuteNonQuery(dbc,dbtran);            lutb.LBATCHID = (int)database.GetParameterValue(dbc, "OLBATCHID");            return result;
        }

Answer 2

to lovehongyun:不好意思，匆忙结贴了，没有给分给你。
问题搞定了，谢谢。