Errore struzione INSERT INTO

[simcario]

So che questo problema è stato già affrontato varie volte ma cercando tra i post non ho trovato la soluzione

Ecco il mio problema...


Sto cercando di inserire dei dati in un database
in particolare devo inserire il campo rtf_content
che contiene il valore della proprietà txtNew.Rtf
per salvare la formattazione di un richtextbox
ma eseguendo la queru mi dice chec'è un errore di sintassi nell'istruzione INSERT INTO

Ho provato in tutti i modi:
Cambianto il tipo di campo nel database ACCES
Cambiando i nomi dei campi
inserendo i nomi dei campi nella parentesi quadre

Ma niente

qualcuno sa darmi qualche suggerimento?

Di seguito posto il codice


Grazie in anticipo

file = frmNew.txtNew.Rtf

            Dim cs As String = "Provider=Microsoft.Jet.OLEDB.4.0;Data Source=" & Application.StartupPath & "\data\database.mdb;User Id=admin;Password=;"
            Dim sql As String
            Dim conn As New OleDbConnection(cs)
            sql = "insert into canti ([titolo],[autore],[genere],[tipo],[rtf_content]) values =('"
            sql = sql & frmNew.txtTitolo.Text & "','"
            sql = sql & frmNew.cmbAutore.Text & "','"
            sql = sql & frmNew.cmbGenere.Text & "','"
            sql = sql & "testo','"
            sql = sql & Replace(file, "'", "''") & "')"
            conn.Open()
            Dim cmd As New OleDbCommand(sql, conn)
            cmd.ExecuteReader()

[cassano]

stampa il contenuto della variabile sql alla fine del ciclo cosi vediamo cosa c'è dentro.

[alka]

Se si facesse uso di parametri (OleDbParameter in questo caso), non vi sarebbero tutti questi problemi nell'accodamento di dati direttamente alla stringa SQL, con il classico rischio di imbattersi in vulnerabilità di "SQL Injection".