Используйте регулярное выражение, чтобы ограничить символы, которые может содержать строка. В PHP preg_match вернет 0, если шаблон не соответствует, ненулевое в противном случае:
if (!preg_match('/^[ \w]+$/', $username)) {
$error = "Invalid username";
}
Вы должны также установить минимальную / максимальную длину либо с strlen, либо с измененным регулярным выражением. Этот соответствует только строкам длиной от двух до десяти символов:
/^[ \w]{2,10}$/