sua função anti_injection no controller.php é vulnerável.

se passar 'deldeleteete' vai retornar 'delete' hehe