防止注入网上查了下用SqlParameter可以，那SqlParameter处理单引号时候是自动转义了吗

String sql = String.Format("INSERT KKAct([title],[uid],[desc],type) Values('{0}','{1}','{2}',{3})", title, user,desc, 3);
SqlCommand com = new SqlCommand(sql, con);

一般而言，把 一个单引号，替换成 两个单引号就可以了。