El único comentario que me queda por hacer (no por decir que las alternativas sugeridas son incorrectas) solo por ser un poco molestón
es que no siempre quieres validar que solo sean números o letras y quizás no quieras tener diferentes aproximaciones para cada uno de tus queries (uno que valide números, otro que valide solo caracteres alfanuméricos, otro que valide otro tipo de caracteres, etc) sino tener un estándar de programación, por eso la sugerencia de parametrizar. De nuevo, no lo digo con intención de crear un debate, solamente como una consideración importante.
Saludos