SqlCommand conn_cmd = new SqlCommand();
                SqlDataReader dr;
                conn_cmd.Connection = conn;
                conn_cmd.CommandType = CommandType.StoredProcedure;
                conn_cmd.CommandText = "classroom_request";
                [color=#FF0000]conn_cmd.Parameters.Add(new SqlParameter("cr_id", str));[/color] //这句是传参
                conn.Open();
                dr = conn_cmd.ExecuteReader();
                return dr;

------解决方案--------------------
把数据库设为可存UTF-8的字符集,然后处理一下单引号即可.

http://blog.csdn.net/insus/archive/2008/03/26/2221202.aspx

------解决方案--------------------
其实就是做一些字符串验证就是了，但是用存储过程相对简单，不用想着怎么去过滤非法字符串

------解决方案--------------------
使用存储过程，
过滤' "
对字符串进行编码