Neměli byste nikdy vytvářet texty příkazů zřetězením řetězců. Použijte SqlParameter . To znamená dát první věci na první místo.
A zdá se mi, že vůbec (nebo jen velmi málo) rozumíte tomu, jak funguje přístup k datům v .net. Takže bych vám doporučil přečíst si nějaké knihy na toto téma, například Microsoft "Přístup k datům pomocí .NET Framework 4".