入力バリデーションにはホワイトリスト方式を用い、ブラックリスト方式は用いない。サイニタイズはブラックリスト方式であり、利用は極力避ける。

ホワイトリスト方式はデフォルトで全てを拒否し、必要最小限を許可する方式である。デフォルトで全てを拒否していないとホワイトリストにひはならない。

if (strstr($_POST['email'], "\0")) {
  throw new Exception('email cannot contain null char');
}
 
some_useful_function($_POST['email']);

ヌル文字のみチェックするブラックリスト方式では不必要なリスク／不安定要素をコード内に持ち込む。

$email = filter_var($_POST['email'], FILTER_VALIDATE_EMAIL);
if ($email === FALSE) {
  throw new Exception('Invalid email');
}
 
some_useful_function($email);

FILTER_VALIDATE_EMAILはRFC822形式（コメントなどは除く）のメールアドレスのみを許可する。

バリデーションエラーが大量に発生することが問題になる場合はサニタイズフィルターの利用を検討してもよい。

[ルール／推奨事項のリスク評価]

[評価例 - 英語表記に統一]

• http://php.net/manual/en/book.filter.php