vb.net - problema con stringa

[FinalFantasy]

Informazioni aggiuntive: Cast non valido dalla stringa "INSERT INTO `nome_tabella` (`n" al tipo 'Double'.

La stringa in questione è:
Dim sql As String = "INSERT INTO `nome_tabella` (`nome`,`cognome`,`sesso`,`email`,`passw
ord`) VALUES ('" + INome + "','" + ICognome + "','" + ISesso + "','" + IEmail + "','" + MD5Hash(IPassword) + "')"

cos'ha ke nn va? :master:

[alka]

Probabilmente uno dei caratteri contenuti nella stringa, magari nell'hash, rappresenta un separatore e corrompe la validità dello statement SQL.

Come è stato più volte suggerito e detto, anche in altri frangenti, è sempre bene utilizzare query parametriche invece di accodare direttamente i valori nello statement SQL convertendoli tutti in stringa, inclusi i valori numerici e le informazioni data/ora.

Si tratta della soluzione più sicura (evita "sql injection" e altri tentativi di intrusione) e senz'altro meno "error prone", effettuando in automatico le conversioni dovute senza rischi di errori sul formato.

Ciao!

[FinalFantasy]

cos'è una query parametrica? mai sentito parlare e ke cosa ha che fare con il mio errore?

[alka]

Dai un'occhiata a questo thread e troverai una breve trattazione a riguardo con anche un esempio.

Ciao!

[FinalFantasy]

ma dopo aver creato la query x l'inserimento, come la invio? :P :P

[alka]

Originariamente inviato da FinalFantasy
ma dopo aver creato la query x l'inserimento, come la invio?

Chiama il metodo ExecuteNonQuery della classe XXXCommand (OdbcCommand, OleDbCommand e così via, a seconda dei casi).

Ciao!