Как получить значения всех textbox на странице asp и записать их в sql?

Question

[Panicrust]

Есть форма из кучи TextBox-ов примерно такого вида:

<tr>
        <td><label>Название </label></td>
        <td><label>Параметр 1 </label></td>
        <td><asp:textBox ID="tb650a" runat="server" Text=""/></td>
<tr>

Таких ещё штук 200, с разными ID. Каждому ID соответствует столбец в SQL. Данные из TextBox-ов передаются в SQL-запрос.
Хотелось бы автоматизировать и не писать "китайский код" типа

string query = "INSERT INTO [table](field1, field2, field3, bla-bla-bla... ) VALUES(N'" + field1.Text + "', N'" + field2.Text + "', N'" + field3.Text + "', N'" + bla-bla-bla...")";

а перебор значений TextBox-ов в foreach, например

Comments

[Panicrust]

Нашел кое-что, но пока не знаю, как получить, записать/сохранить TextBox.Text

public void getAllCtl(ControlCollection ctls)
    {
        foreach (Control c in ctls)
        {
            if (c is System.Web.UI.WebControls.TextBox)
            {
                TextBox tt = c as TextBox;
                //to do something by using textBox tt.
            }
            if (c.HasControls())
            {
                getAllCtl(c.Controls);
            }
        }
    }

[Panicrust]

Сделал пока так, данные добавляются отдельно, каждый текстбокс в одну новую строку. Утром доделаю

public void getAllCtl(ControlCollection ctls)
        {
            foreach (Control c in ctls)
            {
                string testquery = "";
                if (c is System.Web.UI.WebControls.TextBox)
                {
                    TextBox tt = c as TextBox;
                    if (tt.Text != null)
                    {
                        testquery = "INSERT INTO [Table] (" + tt.ID + ") VALUES (N'" + tt.Text + "')";
                    }
                    connection.Open();
                    SqlCommand cmd = new SqlCommand(testquery, connection);
                    cmd.ExecuteNonQuery();
                    connection.Close();
                }
                if (c.HasControls())
                {
                    getAllCtl(c.Controls);

                }
            }
        }

[Владислав Килин]

Пожалуйста, не делайте так НИКОГДА. Я понимаю, вебформы, все дела, но одно указание в веб.конфиге - и я смогу записать в поле что-нибудь типа DROP DATABASE--. По-хорошему, надо, конечно, юзать дата-биндинг, ОРМ вместо прямого доступа к банке и так далее...
Читайте вот здесь, например.
msdn.microsoft.com/en-us/library/aa984209(v=vs.71).aspx

[Panicrust]

o_O благодарю..

[Panicrust]

А такой способ более безопасен? Параметры вроде как предотвращают инъекции?

string sqlquery = "INSERT INTO [Users] (FirstName,LastName) 
VALUES (N@FirstName,N@LastName)";
    SqlCommand command = new SqlCommand(sqlquery , connection);

    string firstName = FirstNameTextBox.Text;
    command.Parameters.AddWithValue("FirstName", firstName);

    string lastName = LastNameTextBox.Text;     
    command.Parameters.AddWithValue("LastName", lastName);