Evitar sql injection

[Trulala de cordoba]

Hola

Pues para evitar sql injection me imagino que hay muchos temas y hablado. Pero queria consultarles lo siguiente.

Para evitar esto cada vez que tengo una variable de formulario o query llamo a una funcion "Limpiarvalor(myvalor)

Ahi dentro uso server.htmlencode

Pero no se porque a veces no me quita la comilla simple.

Por lo tanto ademas de eso luego hago un replace(myValor,"'","''")

Bueno, queria saber si con esos paso me evito tener ya problemas. He visto funciones mas complejas, pero a veces esas funciones quitan caracteres que necesito usar

graciass!!!!