webサイトの入力で許可する文字（UTF-8）

質問

webサイトのフォーム（utf-8）にて入力チェック時に許可する文字列を皆さんはどうされていますか？

一般的な日本語英語数字記号程度のみを許可していると、入力チェックではじかれまくって使い物になりません。とはいえフルフルでスルーはしたくありません。

どういう考えでどうやってるか事例をお聞かせ願えれば助かります。

回答No.1

4017B

そのwebサイトの性質によりますが、不特定多数の非技術者系のUserを想定するのであれば不許可文字列を弾くのでは無く、不許可文字列を全て安全な文字列へ強制置換する方法が一番簡単確実ですかね。

基本的には「& ' " <>」をエンティティして置けば文字化けは起こしてもスクリプト上の不具合は防げますので、後はスマホとかから入力されやすい絵文字を問答無用に ◆ みたいなPC上でも問題無く表示可能な文字に一律に強制置換ですね。

利用者層に絵文字を多用する文化が有るのであれば、別途に個別に安全な画像ファイルに置き換え等の処理が必要になるかも。

お礼

エスケープ処理をすれば表示時の不具合は防げますね。絵文字はwebfontで解決ですね。

http://tmtms.hatenablog.com/entry/20110510/sanitize_utf8
こういうこともあるので、サニタイズしてた方が良いのかな、と思ってますが、必要ない？