Apostrofer i SQL sætning

Nøgleordet er vistnok "Prepared Statement" ...

synes ik den eksisterer i C#. Den er vist kun i Java.

Jeg gør sådan her, der kommer hverken flere eller færre apostrofer end der skal være.

string test = txtTest.Text.Replace("'","''");
string SQL = "INSERT INTO test (test) VALUES ('"+test+"')";

alpapa

Det gav det samme resultat. Det virker ikke hos mig.

Okay - det lyder dælme mystisk???

Min Data Type i kolonnen hvor teksten bliver sat ind i MSSQL2000 databasen er:
ntext eller nvarchar
Collation: <database default>

her er et hurtigt eksempel med parameter:

OleDbConnection con = new OleDbConnection(_DBConnection);
OleDbCommand cmd = con.CreateCommand();

string SQL = "INSERT INTO Test (name,email) VALUES (?,?)";

cmd.CommandText = SQL;

cmd.Parameters.Add("name",name);
cmd.Parameters.Add("email",email);

con.Open();
cmd.ExecuteNonQuery();
con.Close();

Se jeg havde skrevet lidt forkert. Det er sådan her jeg har prøvet :

string test = txtTest.Text.Replace("'","''");
string SQL = "INSERT INTO test (test) VALUES (N'"+test+"')";

Forskellen er at der står et N foran det jeg indsætter som fortæller at det er Unicode. Jeg gør det fordi på et tidspunkt indsætter jeg japanske tegn men tror ikke det er det der gør at jeg får for mange apostrofer i min kode.

Til asjhoej :

hvis jeg har to strings henholdsvis string1 og string2 hvordan indsætter jeg dem i SQL sætningen som du har bygget op. Jeg er ikke helt med med parameterne men jeg tror det er der der skal gøres noget så den netop indsætter string1 og string2 i sqlen.

Den første parameter er feltet i SQL sætningen og den anden er den streng du vil sætte ind.

cmd.Parameters.Add("name",string1);
cmd.Parameters.Add("email",string2);

Tak for det. Det fungerede fint. Denne måde er vist også den smarteste måde at arbejde med databaser. Det gør det mere fejltolerant for input.