新規登録の際にJavaScriptで正規表現、エスケープはありなのか

Question

PHPとJavaScriptで新規登録機能を作成しているのですが、一つ疑問ができました。

新規登録の際に用いられるユーザーが入力した内容を正規表現、エスケープする際に一般的にはPHPで行ってDBに登録すると思うのですが、自分がやろうとしているのは、

JavaScriptで正規表現、エスケープを行ってそのデータをAjaxで送信してPHPでDBに登録しようというものです。

この場合一般的ではないのはわかっていますが、セキュリティ上やシステム上問題はないのでしょうか？

Comments

[gentaro]

たぶんサニタイズとかの話をしたいんだろうと思うけど、「正規表現、エスケープする」なんて表現は盛大な誤用で、JavaScriptで正規表現を利用することや、文字列のエスケープが必要な場面なんて腐るほどありまっせ。
用語の意味を理解していないと質問もままならないし、ついた回答に対する解釈にも誤解生じると思うので、ちゃんとひとつひとつ丁寧に調べましょう。

Answer 1

セキュリティ上やシステム上問題はないのでしょうか？

大アリです。JavaScriptからではなく、攻撃者が不正なデータを送信することが可能ですので、データベースに入れるためのエスケープはPHP側で行わなければなりません。

Answer 2

用語の意味や使い方、使いどころを整理された方が良いかと。
サニタイズ/入力値検証/エスケープの考え方

逆に、「一般的ではない」と分かっていながら取るのは大抵悪手です。

Answer 3

ユーザーから送られてくるデータはサーバー側で以下のような処理がされます

• バリデーション：想定しているデータ型かどうかどうか判断し、想定外のデータは排除する。
• プレイスホルダ：ユーザーから受け取ったデータを加工せずに登録
• エスケープ：表示する際に影響がないように適当な変更を加える

Answer 4

新規登録の際に用いられるユーザーが入力した内容を正規表現、エスケープする際に一般的にはPHPで行ってDBに登録すると思うのですが、自分がやろうとしているのは、

JavaScriptで正規表現、エスケープを行ってそのデータをAjaxで送信してPHPでDBに登録しようというものです。

これは非常に危険です、Javascriptなら知識がある人なら改ざん可能です。
もし、PHP側でも正規表現にかけるのなら、HTMLやJavaScriptで正規表現にかけるのはUXとして非常に有効です。