Hvorfor virker det her ikke?

Jeg er ved at lave en form for log in system. Men jeg vil gerne kontrollere at brugeren ikke skriver ulovlige tegn i det han indtaster. Jeg har prøvet det her:

    $mail = $_POST["mail"];
   
    $arr = array("'", "(", ")", "/", "!", "&", "=", "?");
    $size = sizeof($arr)
    for($i = 0, $i < $size, $i++){
        $mail = ereg_replace($arr[$i], "_", $mail);
    }
   
    var_dump($mail);

Men det vil ikke helt som jeg vil, for den skriver ikke noget ud i min var_dump. Hvorfor ikke det???