un saludo, y enhorabuena por esta web.

if(is_array($charset) || strpos($charset,’,’)!==false) { exit; }

En la explicación posterior…

Da igual que hagas:

$charset = str_replace(”,”,””,$_POST['charset']);
if(is_array($charset)) { exit; }

o bien:

if(is_array($charset)) { exit; }
charset = str_replace(”,”,””,$_POST['charset']);

No es cierto que “da igual”, la ejecución de str_replace con grandes cantidades de información será costosa y la comprobación de que si es un arreglo debe ser antes que el str_replace.

El uso de strpos en lugar de str_replace se me hace mucho más atinado. No se trata de sanear la entrada (en ese caso se debería hacer una validación de detecciones repetidas y demás). Se trata de detectar un uso inapropiado de la variable (pues siempre se espera que $_POST['charset'] cumpla con ambas condiciones: no arreglo, no comas).