Ben bu şekilde SQL sorgularına karşıyım. Parametre kullanmak en doğru çözüm. Bu şekilde yazılanlar direk yanlış, hatta çok yanlış. Sql Injection'u araştırmanızı tavsiye ederim. Yazdığınız kod, direk Sql Injection'a açık bir kod.
Ek olarak, Entity Framework kullanmanız daha faydalı olur. Bu konuda bilginiz yoksa da öğrenmenizi şiddetle tavsiye ederim. Zira artık veritabanı işlemleri bu şekilde yapılmıyor. Yapan varsa da çok çok azdır.
Tamam arkadaşlar aldığınız hatanın çözümünü söylemişler fakat doğru yolu da göstermek gerekir.