Sicheres Statement?

<?php
if(isset($_POST['user'])) // sollte $_POST['senden'] sein
{
    $user = trim($_POST['user']);
    $pw = trim($_POST['password']); /* nie nie niemals das vom nutzer eingegebene pw verändern.
        die sparkasse zB kürzt ungefragt und ohne hinweis eingegebene pws auf die max länge -
        und das ist absolute falsch.
        hier ist es zwar nur trim(), wenn user aber ein leerzeichen am anfang oder ende verwenden will - sol er doch -
        du speicherst ja einen hash des pws. und dem hash ist das leerzeichen auch egal.
    */
    $pnr = trim($_POST['personalnummer']);
    if(!empty($user) && !empty($pw) && !empty($pnr)) /*
        empty ist "schwammig"
        wenn nutzer "0" eingibt, dann ist $user empty
        wenn er aber (nur) "1" eingibt (oder "a" oder "," ...), dann ist es nicht empty,
        aber wohl sicherlich zu kurz
        besser wären einzellne prüfungen wie in etwa
        if(strlen($user) < DEINE_MAX_LEN_USER){ ... fehler ..}
        if(strlen($pw) < DEINE_MAX_LEN_PW){ ... fehler ..} // kein elseif, denn dann würdest du nur immer einen fall prüfen
        if(strlen($pw) < DEINE_MAX_LEN_PNR){ ... fehler ..} // kein elseif, denn dann würdest du nur immer einen fall prüfen
        UND auch max länge prüfen.
        sonst könnte es passieren, dass:
        - du einen user von 255 länge in die db schickst
        - du ein sehr sehr langes pw in password_hash() gibts (gibt auch eine max len für die function)
    */
    {
        $pnr = filter_var($pnr, FILTER_VALIDATE_INT); /* geht einfacher:
        if((int)$pnr != $pnr){ fehler}
        erklärung:
        (int)$pnr   ^= den wert von $pnr als integer zurückgeben (INFO: $_POST und $_GET kommen immer als string - auch zahlen)
        !=          ^= einfacher vergleich
        wenn also
            $pnr ein string "1" ist
        dann ist
            (int)$pnr != $pnr
        false, denn
            (int)"1" != "1"
        enspricht
            1 != "1"
        ergibt false.
        anders herum:
            1 == "1"
        ergibt true.




        nächstes if kann man also so schreiben:
        if(ctype_alnum($user) and (int)$pnr == $pnr){
            $pnr = (int)$pnr;
            // ...
        }
        */
        if(ctype_alnum($user) && $pnr !== false)
        {
            include "inc/verbindung.inc.php"; /* würde require oder require_once nutzen.
                denn wenn include fehlschlägt, dann geht es weiter im script, was ja offensichtlich nicht funktionieren wird */
            $insert = $verbindung->prepare("INSERT INTO account (user, password, personalnummer) VALUES (?, ?, ?)"); /* ; nicht vergessen.
                ist kein "muss", kann aber evtl injections verhindern ... oder schusselfehler ect
                würde auch `field` empfehlen.
                INSERT INTO `datenbank`.`account` (`user`, `password`, `personalnummer`) VALUES (?, ?, ?) 




            BTW: was, wenn der datensatz schon existiert?
            2 moglichkeiten: 
            - vorhergehendes SELECT COUNT(*) FROM `datenbank`.`account` WHERE `user` = ? ... -- evtl pnr prüfen? ...
            - oder `user` ist INDEX UNIQUE oder PRIMARY KEY - dann gibts nen fehler beim insert -- duplicate key
            */                
            $insert->bindValue(1, $user);
            $insert->bindValue(2, password_hash($pw, PASSWORD_DEFAULT)); /* erst hashen, und wenn nicht false,
                dann weiter im script. sonst fehler meldung.
                $pw_hash = password_hash($pw, PASSWORD_DEFAULT);
                if($pw_hash !== false){ ... weiter im script} */
            $insert->bindValue(3, $pnr);
            /* BTW: http://php.net/manual/de/pdostatement.bindvalue.php
                user ist immer ein string. also: 
                $insert->bindValue(1, $user, PDO::PARAM_STR);
                pw is auch ein string
                $insert->bindValue(2, $pw_hash, PDO::PARAM_STR);
                und pnr ist ein int
                $insert->bindValue(3, $pnr, PDO::PARAM_INT);
            */
            if($insert->execute()) echo "Der Datensatz wurde hinzugefügt!"; else print_r($insert->errorInfo()); /* nicht schön.
                was spricht gegen klammern? =) */
        }
        else
        {
            // klammern? 
            // und kein elseif -- dann bekommt nutzer alle fehler, und nicht nur den ersten auftretenden =)
            // und siehe oben: if((int)$pnr != $pnr){ fehler }
            if(!ctype_alnum($user) && $pnr === false)
                echo "Der Benutzername ist nicht Korrekt. Ebenso darf die Personalnummer nur Zahlen enthalten";
            else if(!ctype_alnum($user))
                echo "Der Benutzername ist nicht Korrekt";
            else if($pnr === false)
                echo "Die Personalnummer darf nur Zahlen enthalten";
        }
    }
    else // KLAMMERN nutzen! ist kein gesetz, aber klammern nicht zu benutzen ist nicht cool, es ist einfach nur anfälliger für schusselfehler =)
        echo "Bitte alle Pflichtfelder ausfüllen";
}
?>




<form action="<?php $_SERVER['SCRIPT_NAME'] ?>" method="POST"> <!-- action="" tuts auch -->
<p><input name="user" placeholder="Username"></p>
<p><input name="password" type="password" placeholder="Passwort"></p>
<p><input name="personalnummer" placeholder="Personalnummer"></p>
<p><input type="submit" value="Login" name="senden"></p>
</form>
<style>
input {
margin:2em auto;
width:45%;
padding:2%;
border:1px solid #ccc;
font-family:helvetica;
color:#444
}
</style>




<?