清理使用者名稱

$user = sanitize_user("attacker username<script>console.log(document.cookie)</script>");

sanitize 後的$ user 值是攻擊者使用者名稱