字符串没有用引号括起来。
strSQL = """" + strSQL + buf1 + """";