SQL Injection--造成網頁被駭

Select * from contacts Where UserName='" + username + "' and Pwd='" + password + "'

這是以前我常用的SQL語法，尤其是用到登錄畫面。
原來這會造成漏洞 資料隱碼