Ocupar una variable en una instruccion SQL

[pemr_2002]

Tengo el siguiente trozo de codigo que inserta una file en una base de datos, Funciona perfectamente, pero cuando hago el cambio en donde creo la variable "VARIABLE" y quiero utilizarla en la instruccion insert que aparece, el visual studio tira error, ¿que puedo hacer?
Nota: Empleo visual studio 2005 con una base de datos en SQL express


Dim micomando As SqlCommand = New SqlCommand
Dim VARIABLE As String = "PEREZ"
micomando.CommandText = "insert into tabla (nombre,apellido,direccion) values (VARIABLE,'Juan','Andalucia')"
micomando.Connection = conconexion
conconexion.Open()
micomando.ExecuteNonQuery()
conconexion.Close()

[Porlachucha]

la sintaxis es

micomando.CommandText = "insert into tabla (nombre,apellido,direccion) values ('" & VARIABLE & "','Juan','Andalucia')"

PLCH

[Peterpay]

aunque es mejor usar parametros

micomando.CommandText = "insert into tabla (nombre,apellido,direccion) values ('" & VARIABLE & "','Juan','Andalucia')"

por

micomando.CommandText = "insert into tabla (nombre,apellido,direccion) values (@nombre,@apellido,@direccion)";
micomando.Parameters.AddWithValue("@nombre",variab le);

menos errores de caracteres de escape y menos propenso a inyeccion

[pemr_2002]

Muy, bueno, me sirvio perfecto. gracias

[pemr_2002]

Iniciado por Peterpay

aunque es mejor usar parametros

micomando.CommandText = "insert into tabla (nombre,apellido,direccion) values ('" & VARIABLE & "','Juan','Andalucia')"

por

micomando.CommandText = "insert into tabla (nombre,apellido,direccion) values (@nombre,@apellido,@direccion)";
micomando.Parameters.AddWithValue("@nombre",variab le);

menos errores de caracteres de escape y menos propenso a inyeccion

Muy bueno, me funciono perfecto.