- webシステムではテキストボックスの隣にエラーを表示するのが一般的なのでしょうか
エラーメッセージをまとめて表示する場合、一目でエラーが出たことが分かりますが、どの入力項目でエラーになっているかはユーザーがメッセージを見て判断することになります。
入力項目の隣に表示する場合はどの項目でどういうエラーが出ているかは一目瞭然ですが、画面レイアウトによってはエラーが出ていることに気づきがたい場合もあります。(例:スクロールしないとエラーになっている項目が表示されない場合)
どちらが一般的ということはありません。入力項目数と画面レイアウトとユーザーの慣れ次第で決めればよいです。
- テキストボックスの隣にエラーを表示した場合、ブラウザ上でレイアウトがずれませんか
レイアウト次第です。ただ一つ言えることは、エラーを表示するとレイアウトが破綻するというのは設計がまずい証拠です。webアプリの場合ユーザー環境によってウィンドウサイズやフォントサイズや画面解像度(サイズでは無くてppiのほう)が違う可能性があることを考慮した設計が必要です。レイアウトが崩れるという心配はそれらを考慮せずにガチガチの画面レイアウトをしようとしているからではないでしょうか。
- javaで業務システムを作りたいのですが、入力チェックは何で実装するのがベストですか?
フレームワークを使っているならフレームワークに備わっているバリデーション機構を使うのが第一選択です。そうで無いなら汎用のライブラリか自作するかですが、要件次第なのでベストはありません。小規模なら自作した方が早いかも知れませんし、大規模になったらなったで汎用ライブラリだと融通が利かないという可能性も増えます。クライアントサイドでも同様のことが言えます。
webアプリの入力値検証について。
webアプリの入力値検証は、サーバサイドでやるのが大原則です。クライアントサイドのバリデーションはブラウザを使わずにリクエストを投げるだけで迂回できます。(余談ですが、同じ理屈で、例えばselect要素を使っていてブラウザでは固定値しか選択できないからといって検証をしないとこれも回避されます。)
サーバサイドの検証は、入力がアプリケーション要件に沿っていることを保証するためのものです。対して、クライアントサイドでの検証はUXの為だと思ってください。全く目的が違いますのでどちらが優先ということはありません。送信ボタンを押してその結果でエラーが分かる、で良いのならクライアントサイドの検証はしなくてもかまいません。
繰り返しになりますが入力値検証は入力がアプリケーション要件に沿っていることを保証するためのものです。セキュリティのためではありません(CSRF避けトークンのようなユーザー入力値以外のデータの検証は例外です)。例えば、アプリケーション要件で定められた文字種にしたがってシングルクオーテーションマークを拒否するのはよいですが、アプリケーション要件にはないのにSQLインジェクション対策と称してシングルクオーテーションマークを拒否したり削除したりしてはいけません。セキュリティの確保はデータを利用するとき(画面表示だったりDB保存だったり)に適切にエスケープするなりSQLであればプレースホルダを使うなりして行ってください。