没分有人回答吗，无语关于菜鸟sql注入

Question

 SqlCommand cmd = new SqlCommand("select * from WARE where warename='" + TextBox1.Text + "'", conn);
 //SqlCommand cmd = new SqlCommand("jian", conn);       
        //cmd.CommandType = CommandType.StoredProcedure;        //cmd.Parameters.AddWithValue("a", TextBox1.Text);后面注释的三句话是如何做到防止SQL注入的呢?

Answer 1

select * from table where data=@data这是SQL语句，然后向语句添加参数用SqlParameter

Answer 2

SqlCommand cmd;
SqlParameter parms = New SqlParameter("@pname",TextBox1.Text);
cmd.Parameters.Add(parms);
cmd = new SqlCommand("select * from WARE where warename =@pname", conn)