Non dovresti mai creare testi di comando concatenando stringhe. Usa SqlParameter . Questo significa mettere le prime cose al primo posto.
E mi sembra che tu non abbia (o molto poco) la comprensione di come funziona l'accesso ai dati in .net. Quindi ti consiglio di leggere alcuni libri sull'argomento, ad esempio "Accesso ai dati con .NET Framework 4" di Microsoft.
