var fieldName = Request["field"] ?? "Id";
var minValue  = Request["min"]   ?? Int32.MinValue;
var maxValue  = Request["max"]   ?? Int32.MaxValue;
var debugStr  = Request["debug"] ?? string.Empty;

#if DEBUG
    var debugTemplate = "{0}";
#else
    var debugTemplate = string.Empty;
#endif

var queryTemplate = string.Format(
    "SELECT Id, Nickname, Rating, MessageCount, TopicCount FROM Users WHERE {0} >= @minValue AND {0} <= @maxValue {1} ORDER BY {0}",
    fieldName.Replace("'", string.Empty).Replace(" ", string.Empty).Replace("\\", string.Empty).Replace(",", string.Empty).Replace("(", string.Empty).Replace(")", string.Empty),
    debugTemplate
);

var selectCommand = string.Format(queryTemplate, debugStr);
var cmd = new SqlCommand(selectCommand, dataConnection);
cmd.Parameters.Add(new SqlParameter("@minValue", minValue));
cmd.Parameters.Add(new SqlParameter("@maxValue", maxValue));
// Ну и так далее. Далее осуществляется SQL-запрос, и отобранные поля уходят в виде HTML-таблицы в ответ на HTTP-запрос.

if (!fieldName.All(Char.IsLetter))
   throw new Exception();

J>>if (!fieldName.All(Char.IsLetter))
J>>   throw new Exception();
J>>

KV>Да тут и в релизе все, что угодно возможно

var fieldName = Request["field"] ?? "Id";
if (!fieldName.All(Char.IsLetter))
   throw new Exception();

var minValue  = Request["min"] == null ? Int32.MinValue : int.Parse(Request["min"]);
var maxValue  = Request["max"] == null ? Int32.MaxValue : int.Parse(Request["max"]);;

#if DEBUG
    var debugStr  = Request["debug"] ?? string.Empty; // в string.Format добавлять плейсхолдер для другого string.Format'a - жто шиза!!! Проще нуно быть.
#else
    var debugStr  = "";
#endif

var selectCommand = string.Format(
    "SELECT Id, Nickname, Rating, MessageCount, TopicCount FROM Users WHERE {0} >= @minValue AND {0} <= @maxValue {1} ORDER BY {0}",
    fieldName, debugStr
); 

var cmd = new SqlCommand(selectCommand, dataConnection);
cmd.Parameters.Add(new SqlParameter("@minValue", minValue));
cmd.Parameters.Add(new SqlParameter("@maxValue", maxValue));

KV>var debugStr  = Request["debug"] ?? string.Empty;

KV>#if DEBUG
KV>    var debugTemplate = "{0}";

KV>    fieldName.Replace("'", string.Empty).Replace(" ", string.Empty).Replace("\\", string.Empty).Replace(",", string.Empty).Replace("(", string.Empty).Replace(")", string.Empty),

KV>var selectCommand = string.Format(queryTemplate, debugStr);

KV>cmd.Parameters.Add(new SqlParameter("@minValue", minValue));
KV>cmd.Parameters.Add(new SqlParameter("@maxValue", maxValue));

var fieldName = Request["field"] ?? "Id";
if (!fieldName.All(Char.IsLetter))
   throw new Exception();
...
var selectCommand = string.Format(
    "SELECT Id, Nickname, Rating, MessageCount, TopicCount FROM Users WHERE {0} >= @minValue AND {0} <= @maxValue {1} ORDER BY {0}",
    fieldName, debugStr
);

...blablabla.sortBy(User.Field.Rating)

void f(User.Field f) {
  ...
  ...blablabla.sortBy(f)
  ...
}

if fieldName in ['Id', 'Nickname', ...]:
    # Обрабатываем запрос
else:
    # Выбрасываем исключение