C＃で挿入クエリを書く方法？

Question

私はデータベースにテキストボックスからデータを挿入したい...交流＃Webアプリケーションに取り組んでいます....私は、クエリを書かれているが、それは働いていない：

string insertquery = 
    @"INSERT INTO [LocationInfo]([LocationIP], [LocationName]) 
     VALUES ('" + TextBox2.Text + "','" + TextBox3.Text + "') 
     WHERE LocationID=null"; 

SqlCommand cmd = new SqlCommand(insertquery, sqlcon_QOEMetrices); 
cmd.ExecuteNonQuery(); 

sqlcon_QOEMetricesは私のデータベース接続オブジェクトです。任意の構文エラーまたは欠落しているすべての文があるかどうか..

Answer 1

は省略.........教えてください

WHERE LocationID=null 

そしてSQLCommandとParametersを好む。 UIコントロール値で文字列を構築しない。

Answer 2

あなたはフォームからの直接の値を使用してSQLクエリを連結しないでくださいコマンド

SqlCommand comm = new SqlCommand("INSERT INTO desg VALUES (@txtsno, @txtdesg, @txtbasic)", connection); 

your_db.Open(); 
try { 
    comm.Parameters.AddWithValue("@txtsno", txtsno.Text.Trim()); 
    comm.Parameters.AddWithValue("@txtdesg", txtdesg.Text.Trim()); 
    comm.Parameters.AddWithValue("@txtbasic", txtbasic.Text.Trim()); 
    comm.ExecuteNonQuery(); 
    comm.Dispose(); 
    comm = null; 
} 
catch(Exception ex) 
{ 
    throw new Exception(ex.ToString(), ex); 
} 
finally 
{ 
    your_db.Close(); 
} 

Answer 3

を次のようにクエリを記述することができます。

あなたのADO.NETコードは次のようになります。

 string query = "INSERT INTO [LocationInfo]([LocationIP], [LocationName])" + 
         "VALUES (@locIP, @locName)"; 

     SqlCommand cmd = new SqlCommand(query, sqlcon_QOEMetrices); 
     cmd.Parameters.AddWithValue("@locIP", TextBox2.Text); 
     cmd.Parameters.AddWithValue("@locName", TextBox3.Text);   

     try 
     { 
      sqlcon_QOEMetrices.Open(); 

      cmd.ExecuteNonQuery(); 
     } 
     catch (Exception) 
     { 
      throw; 
     } 
     finally 
     { 
      sqlcon_QOEMetrices.Close(); 
     } 

Answer 4

使用LocationID IS NULL代わりのLocationID = NULL、はい。あなたのクエリは、他の人が言及したように、SQLインジェクション攻撃を受けやすいものです。