SQL语句教训总结

以前的程序也没有出现异常，可突然输入一些单引号会引起保存数据库异常。后来发现是SQL语句写的不规范导致的。现在想想当初写SQL语句的时候就是想偷个懒结果酿成了bug。
如：
string select = “update documents set doc = '{0}' where document_id = xxx”;
就是这样一个SQL语句就会导致异常，原因是入参使用format('{0}')传递了，如果更新的信息里面包含单引号那么SQL语句就异常了。所以写SQL语句的时候还是用SqlParameter比较好。