si ma per prevenire attacchi di SQL INJECTION ho messo una replace(stringa,"'",""") in modo da rendere innoquo il carattere apice no ?

non va bene ?