Funzione sql injection

[whisher]

for ($i=0; $i<count($forbidden); $i++) {
$repl=$forbidden[$i];
$str=str_replace("$repl","",$str);
}

Utilità a parte str_replace fa il suo dovere
senza for !