バリデーション

Question

入力画面のバリデーションを作っているのですが
自由入力欄は最大文字数以外に何をチェックするとよいでしょうか？
システムによりけりな気もするのでこういうケースがあってタブを弾いた！みたいな情報など歓迎します！

・DBはmysqlで構造はtext型もしくはvarchar型に格納します
・プレペアドステートメントを使っているのでインジェクションは大丈夫そうです
・XSSは出力時にhtmlspcialcharsを必ず通しています←これで十分？？

Answer 1

半角カナを全角にしたり、よく使われる機種依存文字(環境依存文字)を適切な文字に変換したりしていますが、半角カナについては、ShiftJISの頃からの名残で、今は半角カナは見苦しいという理由ですね。
環境依存文字については実害が今まで出たことが無いので実際の所よくわかりません。
よく使われる環境依存文字は「 ㈱、②、Ⅲ」などですがこれを「(株)、(２)、３」に変換しちゃったりしています。
(上に書いた環境依存文字はどれだけの人に見えているの？)
全ての環境依存文字を変換するのは現実的ではないので40個程度変換しているかな。
入力した人にもその変換結果が分かるようにJavaScriptでフォーカスが外れたら変換する様にして、phpでも念のため同じ変換を入れています。

追記：
WindowsでもiPadでも「㈱、②、Ⅲ」は正常に見えているのでそもそもこの変換は不要なのか全くもって自信がありません。上に書いた通り半角カナは問題無くても変換してしまいますけどね。

Comments

[rik]

同じことを実施している人がいたのでメモ。
http://qiita.com/seihowlow24/items/f9147a0f7c44810ead1c
http://memo.xight.org/2006-06-19-13
私も似たようなことを行っています。

Answer 2

インジェクションもXSSも大丈夫そうな気がしますが、100％という保証はないでしょう。
万が一、何らかの脆弱性が発見された場合はすぐに対処する必要があると思います。。

後は、機種依存文字くらいでしょうか、、
http://www.submit.ne.jp/tools/check

何かのタイミングで文字化けして、ユーザーとトラブルになるくらいならはじいたほうが良いかなと。

自分もスペシャリストではないので浅はかもしれませんが、参考までにです。