Question

C#执行带变量的insert数据库语句

strsql = string.Format("insert into Question values('{0}','{1}','{2}','{3}','{4}','{5}','{6}','{7}','{8}')", i, Question.Text, Answer.Text, j, QuizHelper.subjectId, A.Text, B.Text, C.Text, D.Text);
请问C#里这条语句有语法问题吗？功能是向表Question中添加一条完整的问题，其他的select和update都可以执行，谢谢。

Answer 1

这么写语法完全没问题，不过有注入风险。
这里【QuizHelper.subjectId】不知道是不是数字，是的话对应的{n}应当没引号。insert into后最好把对应的列名写上。

INSERT INTO [Events]
([EName]
,[MID]
,[PType])
VALUES
({0}
,{1}
,{2}
）

Answer 2

我觉得最好Question 后面加上字段，与后面的值对应，这样要规范一点，针对这string.Format这个，以及拼接是没有问题的