防止SQL注入

        /// <summary>
        /// 登录
        /// </summary>
        /// <param name="M"></param>
        /// <returns></returns>
        public static DataSet Login(string LoginName, string LoginPassword)
        {
            string sql = "SELECT * FROM Login WHERE LoginName=@LoginName AND LoginPassword=@LoginPassword";
            try
            {
                SqlParameter[] sqlParameter =
            {
                new SqlParameter("@LoginName",LoginName),
                new SqlParameter("@LoginPassword",LoginPassword)
            };
                DAL dal = new DAL();
                return DAL.ExecuteDataSet(sql, sqlParameter); //DAL数据操作类
            }
            catch (Exception E)
            {
                throw E;
            }
        }请问一下这样写可以防止SQL注入吗？ 除了 SQL存储过程和过滤字符串之外还可以怎样写呢？？
请可以详细些说明吧。。