insertion dans la base de données

Question

Je me suis assuré que tout se rapporte aux types de colonnes dans la base de données, mais je continue à obtenir une exception SQLCeException. Quelqu'un peut-il me dire ce qui ne va pas avec ce code?

private void ANDPaddDriverButton_Click(object sender, EventArgs e) 
{ 
    string first = ANDPfirstNametextBox.Text; 
    string last = ANDPlastNametextBox.Text; 
    string mid = textBox5.Text; 
    string phone = ANDPphonetextBox.Text; 
    string social = ANDPsSNtextBox.Text; 
     // EmployeeType="Employee" 
    string city = ANDPCityTextbox.Text; 
    string state = ANDPStatetextBox.Text; 
    string zip = ANDPzipCodetextbox.Text; 
    string email = ANDPemailtextBox.Text; 
    string address = ANDPaddressTextBox.Text; 
    string user = userName.Text; 

    DBConn.Open(); 
    SqlCeCommand cmd = new SqlCeCommand("INSERT INTO [Employee Table] VALUES (" + 
      first + "," + last + "," + mid + "," + address + "," + phone + "," + social + "," 
       + "Employee" + "," + city + "," + state + "," + zip + "," + email + "," + userName + ")", DBConn); 
    cmd.ExecuteNonQuery(); 
    DBConn.Close(); 
} 

Answer 1

Vos champs de type chaîne/varchar doivent être placés entre guillemets simples!

SqlCeCommand cmd = new SqlCeCommand("INSERT INTO [Employee Table] VALUES (" + 
    "'" + first + "'," 

et ainsi de suite ...

De plus, comme quelqu'un a déjà commenté que vous allez exposer grandement votre code à des attaques par injection SQL

Answer 2

Comme l'a dit Lorenzo, les valeurs de chaîne doivent être entouré de guillemets simples, mais s'il vous plaît lire this page qui explique pourquoi vous ne devriez pas construire une requête de cette façon, et vous montre comment le faire avec des paramètres.

Answer 3

Utilisez les paramètres pour éviter l'injection SQL, et les noms de colonnes, parce que vous dépendez de la quantité, et l'ordre des colonnes de votre table et il changera probablement à l'avenir (je devine les noms de colonnes):

SqlCeCommand cmd = new SqlCeCommand("INSERT INTO [Employee Table] (First, Last, Mid, Address, Phone, Social, Employee, City, State, Zip, Email, UserName) VALUES (@First, @Last, @Mid, @Address, @Phone, @Social, @Employee, @City, @State, @Zip, @Email, @UserName)", DBConn); 
cmd.Parameters.AddWithValue("@First", first); 
cmd.Parameters.AddWithValue("@Last", last); 
cmd.Parameters.AddWithValue("@Mid", mid); 
cmd.Parameters.AddWithValue("@Address", address); 
cmd.Parameters.AddWithValue("@Phone", phone); 
// etc. each column 

Par ailleurs essayer de ne pas utiliser des espaces dans la table et les colonnes des noms ;-)