Seguridad del String del SQL

[mamon]

Hola, hace unos dias un patita entró a una administración de una página web desde el formulario de logueo sin saber el usuario ni password.. cómo? escribio esto:

usuario: ' or '' = '
pass: ' or '' = '


y cómo asi pudo? xq el string del SQL es algo asi:

select * from tabla where usuario = 'nombre_usuario' and pass = 'clave'

si nosotros en vez de poner en ese string nombre_usuario y clave saldria esto

select * from tabla where usuario = '' or '' = '' and pass = '' or '' = ''

y esa instruccion si es cierta.. bueno, este post no es para decirles cómo poder entrar... sino cómo no dejar que la gente entre... bueno lo que yo hago es hacer un replace de los '.. si en el loguin puso eso, hago un replace poniendo q el ' se convierta en dos '... asi no tengo problemas con eso... pero quiero saber si hay más seguridad a la hora de procesar los datos que el usuario ingresa, xq me ha dejado medio preocupado... ayer estuve como 4 horas intentando crear algo para poder entrar a alguna página que yo he creado de la misma forma como les digo... pero claro, yo hago el replace y con eso nunca pude poder entrar.. pero no sé si exista la forma.. espero que no.. pero mi post es para saber si existe alguna forma de seguridad en todo esto?