你所拥有的是让你的应用程序被黑的最快的方法之一，而不是你如何在SQL语句中包含用户输入。
为了解释正确的方法，我还需要包含上下文的连接和命令对象，所以我可能也有一个与您习惯的不同的模式来处理这些对象。我还假设问题中的mysql标记是准确的（尽管我有怀疑），这样正确的代码看起来更像这样：

string SQL = "Select item from table1 where `Spare parts`= @SpareParts";

using cn  = new MySqlConnection("connection string here")
using cmd = new MySqlCommand(SQL, cn)
{
    cmd.Parameters.AddWithValue("@SpareParts", TextBox1.Text);

    cn.Open();
    using (var rdr = cmd.ExecuteReader())
    {
        while (rdr.Read())
        {
            // ...
        }
    }
}

注意Spare Parts周围的反勾号，这样MySql就会正确地将其视为单个对象名。