Доброе время суток, подскажите пожалуйста новичку возможна ли sql инъекция при такой фильтрации имени, в имени все стирается кроме (цифр, русских букв строковых - больших, английских строковых - больших, нижнего подчеркивания и тире)
Я в програмирование новичек и не совсем понимаю в этих sql инъекциях, есть там в них OR 1-1, что то подобное, так вот OR 1-1 попадает в поиск и запись в базу, но самое главное что во всех моих исходниках стоят маааленькие ковычки ', ведь злоумышленику для осуществления какого та запроса нужно тоже вводить ковычку, но во всем моем кодинге preg_replace убирает их, что хочу спросить таким методом как я делаю злоумышленник бессилен? могу конечно фильтровать полученые данные от пользователя с помощью mysql_real_escape_string но зачем если preg_replace все убрал? sql инъекция возможна?

if($_POST['send']){
$name =$_POST['name'];
$name2 = preg_replace('%[^ 0-9a-zA-ZА-Яа-я_-]+%', '', $name);
$user2 = mysql_query("SELECT * FROM user WHERE `name`='$name2'");
$users2 = mysql_fetch_array($user2);
$nameus = $users2['name'];
if(empty($nameus)){
INSERT - регистрируем под именем $name2
} else {
echo 'Такой пользователь уже зарегистрирован';
}
}

p.s. От XSS атак я защитил исходник, хочу узнать какие еще методы взлома возможны? чтоб я сейчас во всем коде все отфильтровал и был уверен на 100% в защите

Дополню, мой сайт работает исключительно на сессиях, куки же можно подменить и все человечек зашел под каким хочешь пользователям, а у меня же запросы в базу вот такие

$user = mysql_query("SELECT `sity` FROM user WHERE `id`='{$_SESSION['id']}'");
$user2 = mysql_fetch_array($user);
$sity = $user2['sity'];
echo ''.$sity.'';

У меня везде такой код.
Подскажите пожалуйста новичку какие еще бывают методы взлома, и расскажите правильно ли я фильтрую вводимую информацию preg_replace
Дополню на счет preg_replace - да возможно он и дольше выполняется на сервере, это не имеет значения! Главное ЗАЩИТА, а то что больше ресурсов расходует это пустяк!