>>464
批判ばかりしてもあれなので、ちょっと書いておくと
SQLインジェクションという前に、
>英数字の文字列しか入らないという前提
であるなら、なぜ「入力が英数字か？」をチェックしないの？
特定の文字を排除するより、安全な文字であれば通すほうが、
セキュリティ的には安心だよ？