Problem z zapytaniem SQL.

Piszę program obsługujący sklep, problem pojawił się przy wyszukiwaniu, które ma polegać, ze w bazie będzie szukana fraza jaką użytkownik wpisze w textBoxie.

SELECT  *FROM towar WHERE nazwa='marchew'

Powyższe zapytanie działa, jednak jak zamiast 'marchew' użyć frazy wpisanej w textBoxie ? Inaczej rzecz ujmując, jak szukać po zmiennej ? Jak się do niej odwołać w zapytaniu SQL.

Bazę utworzyłem na serwerze MS SQL Server 2008, piszę w C++/CLI.

string sql = "select * from towar where nazwa = " + textBox.Text
?

dzięki :)

@aurel - a jeśli ktoś wpisze do tego TextBoxa takie coś: "marchew; DROP TABLE towar", to co się stanie?

@somekind - To zależy od tego jakie uprawnienia są nadane użytkonikowi, który jest podawany przy połączeniu z bazą.

@aurel - niezależnie od uprawnień aplikacji tak się po prostu nie robi - ot tak, na wszelki wypadek.