Александр

{if strstr($variable, 'value') !== false}true{else}false{/if}

Возвращает TRUE в случае успешного завершения или FALSE в случае возникновения ошибки.

php.net/manual/ru/function.imagejpeg.php

Смотрите в error.log или включите вывод ошибок в браузер.

Сорри нажал на enter
http://www.php.net/manual/en/book.pdo.php
а точнее ознакомьтесь с
bindParam

от XSS есть не мало функции
strip_tags() – вырезает теги HTML и PHP из строки.

htmlspecialchars() — конвертирует только специальные символы (‘&’, ‘»‘, »’, ‘<’ и ‘>’) в HTML сущности (‘&’, ‘"’…). Используется для фильтрации вводимых пользователем данных для защиты от XSS-атак.

htmlentities() – конвертирует все символы в строке (кроме букв) в мнемоники HTML. Используется для защиты от XSS, являясь более гибким аналогом htmlspecialchars.

stripslashes() – удаляет заэкранированные символы (после преобразования в сущности предыдущими функциями их незачем экранировать)

1) Апдейтить все через ajax
2) Если страница с полным постбэком, то делать редирект.
А если юзеру приспичит понажимать кнопку "Назад", то проверять referer

Редирект на ту-же страницу.

header('Location: https://example.com/the/same/page');

Ваш unset удаляет данные которые пришли с POST запросом, но это ни на что не влияет, т.к. повторную отправку делает браузер.

Создаём новый массив:

const concat = (key, ...arrs) =>
  Object.values([]
    .concat(...arrs)
    .reduce((acc, n) => (acc[n[key]] = acc[n[key]] || n, acc), {})
  );


const newFirst = concat('hour', first, hours);

Дополняем существующий:

function add(key, target, ...sources) {
  const keys = new Set(target.map(key));

  sources.forEach(arr => arr.forEach(n => {
    const k = key(n);
    if (!keys.has(k)) {
      keys.add(k);
      target.push(n);
    }
  }));

  return target;
}


add(n => n.hour, first, hours).sort((a, b) => a.hour - b.hour);