创建命令命令ORA-01036:非法变量名/数异常

我正在修复一些工具报告的SQL注入缺陷。我们的应用程序正在从xml读取Oracle查询。查询如下所示…

<CommandText>create user &amp;USERNAME identified externally</CommandText>

程序中，查询被修改如下…

create user User_05 identified externally

我被要求添加参数语句以避免SQL注入。所以我做了类似的事情，如下所示…

OracleCommand command = connection.CreateCommand();
command.CommandText = "create user :USERNAME identified externally";
string attrName = "USERNAME";
string valueToBePut = "User_05";
command.Parameters.Add(new OracleParameter(attrName, valueToBePut));
command.ExecuteNonQuery();

和当我试图执行查询时。它失败了，有以下异常:

{"ORA-01036: illegal variable name/number"}

谢谢。