Как экранировать все «'»?
Не надо ничего экранировать. Надо использовать подготовленные запросы с плейсхолдерами.
В современном мире, если вы используете bind-variables или нормальные ORM-фреймворки - то вам ничего нигде не надо экранировать. Пользуйтесь коробочным продуктом и не изобретайте своих SQL билдеров.