使用这样的SQL语句以防止SQL注入式攻击？

1      string   sql;
2
3     sql  =   string .Format( " SELECT COUNT(ID) FROM OUSER WHERE UserName='{0}' and Password='{1}'; " ,
4                      this .txtUserName.text,
5                      this .txtPassword.text);
6
7          //  .