[FIX] Shortname SQLI

Código:

<?php
If (!$core->auth) {
    return include $pages['profile'];
}
function bad($string) {
  $newString = trim($string);
  $newString = strip_tags($newString);
  $newString = addslashes($newString);
  $returnString = htmlentities($newString);
  return($returnString);
}
$message = array();
if (isset($_POST['usuario'])) {
  $_POST = bad($_POST);
  $_GET = bad($_GET);
  $usuario = bad($_POST['usuario']);
  $usuario = bad($usuario);
    $verificarusuario = $mysql->fetch_array("SELECT * FROM users WHERE username='" . $usuario . "';");
    if (empty($usuario)) {
        $message[] = 'Shortname esta Vazio ';
    } else {
        if (strlen($usuario) > 7) {
            $message[] = 'Shortname tem que ser menos que 7 letras';
        }
        if (strlen($usuario) < 4) {
            $message[] = 'Minimo 4 Letras';
        }
        if (!empty($verificarusuario)) {
            $message[] = 'Ja possui um usuario com este nome, porfavor escolhe outro nome.';
        }
    }
    if (empty($message)) {
        if (strlen($usuario) == 4) {
            if ($core->user['xats'] < 10000) {
                $message[] = 'Voce nao tem xats Suficiente';
            } else {
                $mysql->query("UPDATE users SET username='{$usuario}' WHERE id='{$core->user['id']}'");
                $mysql->query("UPDATE users SET xats = xats - {$valor4letra} WHERE id='{$core->user['id']}'");
                $message[] = 'Shortname ' . $usuario . ' Comprado com Sucesso';
                print $core->refreshLogin();
            }
        }
        if (strlen($usuario) == 5) {
            if ($core->user['xats'] < 7500) {
                $message[] = 'Voce nao tem xats Suficiente';
            } else {
                $mysql->query("UPDATE users SET username='{$usuario}' WHERE id='{$core->user['id']}'");
                $mysql->query("UPDATE users SET xats = xats - {$valor5letra} WHERE id='{$core->user['id']}'");
                $message[] = 'Shortname ' . $usuario . ' Comprado com Sucesso';
                print $core->refreshLogin();
            }
        }
        if (strlen($usuario) == 6) {
            if ($core->user['xats'] < 6000) {
                $message[] = 'Voce nao tem xats Suficiente';
            } else {
                $mysql->query("UPDATE users SET username='{$usuario}' WHERE id='{$core->user['id']}'");
                $mysql->query("UPDATE users SET xats = xats - {$valor6letra} WHERE id='{$core->user['id']}'");
                $message[] = 'Shortname ' . $usuario . ' Comprado com Sucesso';
                print $core->refreshLogin();
            }
        }
        if (strlen($usuario) == 7) {
            if ($core->user['xats'] < 2000) {
                $message[] = 'Voce nao tem xats Suficiente';
            } else {
                $mysql->query("UPDATE users SET username='{$usuario}' WHERE id='{$core->user['id']}'");
                $mysql->query("UPDATE users SET xats = xats - {$valor7letra} WHERE id='{$core->user['id']}'");
                $message[] = 'Shortname ' . $usuario . ' Comprado com Sucesso';
                print $core->refreshLogin();
            }
        }
        if (strlen($usuario) == 8) {
            if ($core->user['xats'] < 1000) {
                $message[] = 'Voce nao tem xats Suficiente';
            } else {
                $mysql->query("UPDATE users SET username='{$usuario}' WHERE id='{$core->user['id']}'");
                $mysql->query("UPDATE users SET xats = xats - {$valor8letra} WHERE id='{$core->user['id']}'");
                $message[] = 'Shortname ' . $usuario . ' Comprado com Sucesso';
                print $core->refreshLogin();
            }
        }
    }
    foreach ($message as $msg) {
        print '<br><div class="alert alert-dismissable alert-info">
  <button type="button" class="close" data-dismiss="alert"></button>
  <center>' . $msg . ' </center></div>';
    }
}
?>
<center>


    <form method="post">
        <br>
        <input type="text" name="usuario" placeholder="Shortname">
        <br>
        <input type="submit" name="submit" value="Comprar ShortName">
    </form>
    <h2 >Precos:</h2>
    <ul >
        <strong><li>8 letras, 1.000 xats,</li>
            <li>7 letras, 2.000 mil xats,</li>
            <li>6 letras, 6.000 mil xats,</li>
            <li>5 letras, 7.500 xats,</li>
            <li>4 letras, 10.000 xats,</li></strong>
    </ul>
</center>


New Shortname

boa milk 

Where do i put the codes on?

Yo te reporte <3 Esa vulnerabilidad para que la solucionaras en tu ixat al menos comenta quien te la dijo no xD? / Do I bring you <3 This vulnerability in order that you were solving it in your ixat at least comments the one who said it to you not xD?