Efetivamente, esta forma é muito simples, porém o que aconteceria se por exemplo, no valor da variável percorrida para compor a sentença colocarmos o caractere vírgula, pois isto faria com que a sentença SQL criada fosse errada e nos daria um erro.
Em ASP você dispõe da função replace para substituir caracteres dentro de um string:
Replace(expression, find, replacewith[, start[, count[, compare]]])
Em PHP a função para substituir é str_replace:
str_replace ( mixed search, mixed replace, mixed subject)
Por Miguel Angel Alvarez