sql injection

שאלה שמעסיקה אותי זמן די רב…
האם מספיק בקוד לעשות החלפה ל    '    —     !                 ? אלו התווים הממש קריטיים לדעתי,
או שלא לתת למשתמש כלל לרשום את כל ה special characters (כולל סוגריים # = @ ועוד הרבה)

לצורך העניין אני עובד עם ASP
השאלה מה מהשניים נכון יותר וגם מה קורה במצב שצריך לתת למשתמש חופש לרשום לפי רצונו ולא להגביל יותר מדי, האם כשבוחרים בהחלפה של התווים הכוונה היא להחליף מאז הקלט מהמשתמש ולהכניס אותם כך גם ל DB? כי אז זה אומר בעצם שצריך בקריאה מה DB להפוך חזרה את התווים הללו
לא רק להגנה על ה SQL אלא גם על ה ASP עצמו למרות שלא נתקלתי עדיין בבעיות אבטחה כאלו ב ASP
.. :/
תודה מראש