国際化ドメインを扱う場合、従来の XSS や SQL インジェクション対策に加えて、キリル文字をラテン文字に混在させる (偽キリル文字) など肉眼では区別できない文字を使ったなりすましドメインを識別する必要があるか、考える必要があります。なりすましドメインの偽装は2005年ごろに社会問題になり、さまざまなブラウザーが対策対応に追われました。
偽装なりすまし対策の例として Gmail を挙げます。
Gmail の仕様では、なりすまし対策としてメールアドレスは UTS#39 の「Highly Restrictive」を満たすことを求めています。具体的には、それぞれの文字の Unicode スクリプトプロパティが1種類もしくは複数の種類の場合、指定した組み合わせであることを要求します。
Unicode スクリプトプロパティの組み合わせを判定するには PCRE や intl の Spoofchecker を使うか使います。自分でライブラリを実装するのであれば、unicode.org で配布されている Scripts.txt をもとに判定使います。
次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョンを自前調べるには phpinfo 関数もしくはコマンドラインで用意する必要 php -i | grep ICU
を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照ください。isSuspicious の実装に使われる uspoof_checkUTF8 は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレードがあり必要になるでしょう。
$spoof = new Spoofchecker;
$spoof->setChecks(Spoofchecker::SINGLE_SCRIPT);
// Cyrillic
$str = 'Кириллица';
// Latin + Han + Hiragana + Katakana
$str2 = 'latin漢字ひらがなカタカナ';
// Latin + Han + Hangul
$str3 = 'latin漢字조선말';
// Latin + Han + Bopomofo
$str4 = 'latin漢字ㄅㄆㄇㄈ';
var_dump(
false === $spoof->isSuspicious($str),
false === $spoof->isSuspicious($str2),
false === $spoof->isSuspicious($str3),
false === $spoof->isSuspicious($str4),
true === $spoof->isSuspicious($str.$str2)
);
ロケールごとで認められるスクリプトの組み合わせを判定することもできます。
// Latin + Han + Hiragana + Katakana
$str = 'latin漢字ひらがなカタカナ';
$pattern = '/\A[\p{Latin}\p{Han}\p{Hiragana}\p{Katakana}]+\z/u';
$spoof = new Spoofchecker;
$spoof->setAllowedLocales('en_US,ja_JP');
var_dump(
false === $spoof->isSuspicious('latin漢字ひらがなカタカナ'),
1 === preg_match($pattern, $str)
);