Как предотвратить экранирование строк при SQL-инъекции

У меня есть несколько запросов (к базе данных доступа), например:

string comando = "SELECT * FROM ANAGRAFICA WHERE E_MAIL='" + user + "' AND PASSWORD_AZIENDA='" + password + "'";

, и я бы хотел «избежать» пользователя и пароля, чтобы предотвратить инъекцию.

Как я могу это сделать с помощью C # и .NET 3.5? Я ищу что-то вроде mysql_escape_string на PHP ...