Class Anti-XSS, Anti SQL Injection

[August]

Código PHP:

class seguridad{
 
    function limpiar($value){
        $value=preg_replace('[^A-Za-z0-9_]','',$value);
        if (get_magic_quotes_gpc()){
            $value = stripslashes($value);
        }
        return $value;
    }
    function recursivo($matriz){
        if (is_array($matriz)){  
            foreach($matriz as $key=>$value){
                if (is_array($value)){  
                    $this->recursivo($value);
                }else{  
                    $value=$this->limpiar($value);        
                }    
            }
 
        }else{
            $value=$this->limpiar($matriz);
        }
        return $value;
    }
    
    public function printf_array($elementosql){
        $sqlfiltrado=$this->recursivo(array_shift($elementosql));
        return vprintf($sqlfiltrado,$elementosql);
    }
}
 
$consulta[0]="UPDATE `usuarios` SET `intentos`='%s',`ja`='%s' WHERE `usuario` = 'a'";
$consulta[1]="valor1?";
$consulta[2]="valor2%/";
echo $seguridad->printf_array($consulta);
 

Esto no esta funcionando

$value=preg_replace('[^A-Za-z0-9_]','',$value);

Pues esta escribiendome esto


UPDATE `usuarios` SET `intentos`='valor1?',`ja`='valor2%/' WHERE `usuario` = 'a'82

Me muestra signos y no deberia que estoy haciendo mal??

ya quite el mysql_real_escape_string