求救！关于语句写在哪的有关问题

求救！关于语句写在哪的问题
我想问一个关于SQL语句写在哪的问题！
比如，我有一条这样的SQL语句：
Select   *   from   item;
第一种方法:写在层里在，最后编译成到dll文件里去：
我觉得这样写。扩展性不太好。
第二种方法:写在页面的Page_Load里面，代码如下：
public   partial   class   test   :   System.Web.UI.Page
{
        protected   void   Page_Load(object   sender,   EventArgs   e)
        {
                string   prduct= "null ";
                string   SQLselect   =   "Select   *   from   item ";
                Item   items   =   new   Item();
                DataGrid1.DataSource   =   items.GetItemsBySelectALl(prduct,   SQLselect);
                DataGrid1.DataBind();
        }
}
但是这样写，我又担心安全问题。！高手指点，指点，一下。谢谢了。


------解决方案--------------------------------------------------------
sql语句一般都是业务操作,是业务实体的功能规则,一般放在业务规则对象里方便业务发生变化时的维护.好多系统把这种sql语句放在xml文件里,通过工作流引擎或持久层来进行调度.