新建一个表：
create table abc
(
id int IDENTITY(1,1) NOT NULL,
name nvarchar(100) ,
sex nvarchar(10)
)
insert into abc values(‘asf','男')
insert into abc values(‘ai','女')
创建表格完成。
新建一个存储过程：
create procedure selbyid
(
id int,
thename nvarchar(100) output
)
一般来说，在更新DataTable或是DataSet时，如果不采用SqlParameter，那么当输入的Sql语句出现歧义时，如字符串中含有单引号，程序就会发生错误，并且他人可以轻易地通过拼接Sql语句来进行注入攻击。
string sql
= update
Table1 set name = 'Pudding' where ID = '1';//未采用SqlParameter
SqlConnection
conn = new SqlConnection();
conn.Connect
