Hem veri türü belirterek daha güvenli, hem de kod temizliği sağlaması yüzünde parametrik sorgu çalıştırmak kullanmak her zaman daha iyidir

Aşağıda örnek bir kullanımda bulundum

public static String conStr= "Data Source=192.168.1.2;Initial Catalog=DENEMEVT;Persist Security Info=True;User ID=sa;Password=1234";

using (var con = new SqlConnection(conStr))
{
con.Open();
var cmd = new SqlCommand(@"
insert into personel_list (ad, soyad, tcno, gorev_id, notlar) values (@ad, @soyad, @tcno, @gorev_id, @notlar)
", con);
cmd.Parameters.Add("@ad", SqlDbType.VarChar, 80).Value = txt_ad.Text;
cmd.Parameters.Add("@soyad", SqlDbType.VarChar, 80).Value = txt_soyad.Text;
cmd.Parameters.Add("@tcno", SqlDbType.VarChar, 11).Value = txt_tcno.Text;
cmd.Parameters.Add("@notlar", SqlDbType.VarChar).Value = txt_notlar.Text;
cmd.Parameters.Add("@gorev_id", SqlDbType.Int).Value = cmb_gorev.SelectedValue ?? 0;
cmd.ExecuteNonQuery();
con.Close();
}

Not: Connection stringi bu şekilde program içerisinde tutmayınız, şifrelenmiş bir şekilde olarak ayar dosyasında tutmanız daha mantıklı olur