สอบถามเรื่องการทำเงือนไขภาษา SQL การใช้ WHERE ในการเขียน C# หน่อยครับ

string sql = "UPDATE  DataCard SET Picture = @img WHERE CardID='"+txtCardID.Text+"' ";

try
            {
                byte[] img = null;
                FileStream fs = new FileStream(imgLoc, FileMode.Open, FileAccess.Read);
                BinaryReader br = new BinaryReader(fs);
                img = br.ReadBytes((int)fs.Length);
                string sql = "UPDATE  DataCard SET Picture = @img WHERE CardID=@CardID ";
                if (conn.State != ConnectionState.Open)
                    conn.Open();
                command = new SqlCommand(sql, conn);
                command.Parameters.Add(new SqlParameter("@img",img));
		command.Parameters.Add(new SqlParameter("@CardID",txtCardID.Text));
                int x = command.ExecuteNonQuery();
                conn.Close();
                MessageBox.Show("บันทึกรูปภาพเรียบร้อย", "Save", MessageBoxButtons.OK);
            }
            catch (Exception ex)
            {
                MessageBox.Show(ex.Message);
            }