[PHP e Codice Malevolo] Viene prima l'esecuzione di un codice, o una regExp?

[wartpro]

Salve a tutti,

stavo riflettendo su una cosa e volevo sapere il vostro prezioso parere per un chiarimento.

Dato uno script php che controlla ad esempio una input/text come nell'esempio:

<?php

$input = $_POST['input'];

if (isset($_POST['tasto_di_invio'])) {

   if (!preg_match('/[a-zA-Z]+/', $input)) { // E' permesso solamente del testo "normale"..

   echo ("Ehi ehi..inserisci solamente caratteri..");

   }
}
?>

Pensavo..

..ma se un tizio invia un codice javascript malevolo nell'input...questi, verrà rifiutato perchè non rispetta l'espressione regolare, OPPURE verrà eseguito E POI verrà mostrato il messaggio di errore?

Grazie a tutti.