sql parameterization

string sql=XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX

SqlParameter[] parameters = { new SqlParameter("@XXX",XXX), new SqlParameter("@XX",XX) };