Per evitare questo sql injection devo per forza evitare che gli utenti inseriscano caratteri tipo ; * ' oppure ci sono altri modi?