文字コードとセキュリティ

Webシステムは全てをUTF-8に統一するのが現代の結論。 HTTPヘッダ・metaタグ・ソース・DB・関数引数のどこかで文字コードがずれると、 文字化けや、検証をすり抜けるXSSの温床になる。自動判定に頼らないこと。

charset をわざとずらして表示

下のiframeは、同じUTF-8のバイト列を、指定した charset で解釈させたもの。

UTF-8（正しい） ｜ ISO-8859-1 ｜ Shift_JIS

いまの指定: ISO-8859-1。 UTF-8以外だと日本語が化ける。同じバイト列でも解釈次第で全く違う文字になる。

要点

• HTTPレスポンスヘッダ Content-Type: text/html; charset=UTF-8 を必ず出す
• ソース・DB・関数引数（例: htmlspecialchars($s, ENT_QUOTES, 'UTF-8')）も UTF-8 に統一
• Shift_JIS は使わない。文字コードの自動判定に頼らない
• 受け取ったデータがUTF-8として不正なら、処理せずエラーにする