Also diese sinnlosen Texteingaben kann man gar nicht wirklich verhindern, das kann jeder und immer - sieht man ja auch am Spam hier im Forum. Das geht überall, wo freie Texteingaben sind, also bei Dir PLZ, Ort und Homepage.
PLZ könnte man prüfen, ob das wirklich nur eine Zahl ist.
Homepage könnte man auf eine gültige URL prüfen (Schreibweise)
Den Ort kann man aber nicht abfangen, denn das kann alles mögliche sein.
Die anderen Werte sind alle prüfbar, da hier vorgegeben Werte bestehen. Hier muss man also nur prüfen, ob der gesendete Wert überhaupt zur Auswahl stand.
Bei den freien Texteingaben muss man zumindest ausführbaren Code verhindern (Ähnlich den URLs hier im Forum bei Neulingen. Der Code ist da, wird aber nicht ausgeführt). Das ist derzeit jedoch nicht der Fall. Ich hatte Dir nur ein Alert per JavaScript eingebunden. Der andere wohl einen Film. Ein Youtube-Video, iFrame und alles andere wäre hier auch möglich. Hier kann man nur verhindern, dass der Code ausführbar ist bzw. schon etwas filtern, ob da überhaupt einer drinnen ist. Automatisiert Löschen ist möglich. Aber ob die Eingabe einen Sinn ergibt, das bekommt man nicht geregelt, da es keine Vergleichswerte gibt. Also eine Eingabe wie "Hier regnet es Katzen" würde das System auf jeden Fall akzeptieren.
So, das ist das mit dem Formular. Dann muss noch die SQL für die Datenbank abgesichert werden, denn das ist sie soweit ich weiß derzeit nicht.
Allerdings ist das alles keine große Sache. Dein Script ist etwas wirr, aber nicht groß. Für das Eingabe-Script und das Ausgabe-Script schätze ich mal inkl. Tests so 1-2 Stunden, eher weniger. Wäre schön, wenn Rudolf sich das mal ansehen kann, denn aktuell fehlt mir die Zeit dazu.