Jeg tipper preg_match eller filter_var feiler. Disse blir kjørt _etter_ du har skrevet til databasen, så i grunn helt ubrukelige der de er nå!

Du har heller ikke gjort som alle andre over her har skrevet heller såvidt jeg kan se?
ALLE variablene i $sql, burde være '?', så må du kjøre en bind på de (hvis jeg skjønner folka over her riktig).