UTF-8 の文字を認める国際化ドメインを前提にすると、通常の文章と区別がつかなくなるので、セキュリティ対策に議論を絞るとよいのではないかと思います。なお、Postfix は 2.12 から [SMTPUTF8](http://www.postfix.org/SMTPUTF8_README.html) に対応したので、Ubuntu や Debian であれば、2016年から2017年までには 2.12 を利用できるようになるでしょう。

国際化ドメインを扱う場合、従来の XSS や SQL インジェクション対策に加えて、キリル文字をラテン文字に混在させる ([偽キリル文字](http://ja.wikipedia.org/wiki/%E5%81%BD%E3%82%AD%E3%83%AA%E3%83%AB%E6%96%87%E5%AD%97)) など肉眼では区別できない文字を使ったなりすましドメインを識別する必要があるか、考える必要があります。なりすましドメインは2005年ごろに社会問題になり、さまざまなブラウザーが対応に追われました。

なりすまし対策の例として Gmail を挙げます。
Gmail の[仕様](https://support.google.com/mail/answer/81126#format)では、なりすまし対策としてメールアドレスは UTS#39 の「[Highly Restrictive](http://www.unicode.org/reports/tr39/#Restriction_Level_Detection)」を満たすことを求めています。具体的には、それぞれの文字の Unicode スクリプトプロパティが1種類もしくは複数の種類の場合、指定した組み合わせであることを要求します。

日本語のドメインを対象とするのであれば、スクリプトプロパティの組み合わせは Latin、Han、Hiragana、Katakana で構成されなければなりません。ほかに認められる複数の組み合わせの例は Latin、Han、Bopomofo (台湾で使われる注音符号) もしくは Latin + Han + Hangul です。

スクリプトの組み合わせのほかの例として、Firefox の[IDN 表示アルゴリズム](https://wiki.mozilla.org/IDN_Display_Algorithm#Current_Algorithm)は制限レベルに Moderately Restrictive を採用しています。

Unicode スクリプトプロパティの組み合わせを判定するには PCRE や intl の `Spoofchecker` を使います。自分でライブラリを実装するのであれば、unicode.org で配布されている [Scripts.txt](http://www.unicode.org/Public/7.0.0/ucd/Scripts.txt) を使います。

次のコードは ICU 51 とそれ以降のバージョンで確認したものです。ICU のバージョンを調べるには `phpinfo` 関数もしくはコマンドラインで `php -i | grep ICU` を実行します。C 言語で ICU のバージョン番号で求めるには uvernum.h のマニュアルをご参照ください。`isSuspicious` の実装に使われる `uspoof_checkUTF8` は ICU 51 で非推奨になり、最新の ICU 54 でも使えるものの、長期的には intl のアップグレードが必要になるでしょう。

    $spoof = new Spoofchecker;
    $spoof->setChecks(Spoofchecker::SINGLE_SCRIPT);

    // Cyrillic
    $str = 'Кириллица';
    // Latin + Han + Hiragana + Katakana
    $str2 = 'latin漢字ひらがなカタカナ';
    // Latin + Han + Hangul
    $str3 = 'latin漢字조선말';
    // Latin + Han + Bopomofo
    $str4 = 'latin漢字ㄅㄆㄇㄈ';

    var_dump(
        false === $spoof->isSuspicious($str),
        false === $spoof->isSuspicious($str2),
        false === $spoof->isSuspicious($str3),
        false === $spoof->isSuspicious($str4),
        true === $spoof->isSuspicious($str.$str2)
    );


ロケールごとで認められるスクリプトの組み合わせを判定することもできます。

    // Latin + Han + Hiragana + Katakana
    $str = 'latin漢字ひらがなカタカナ';
    $pattern = '/\A[\p{Latin}\p{Han}\p{Hiragana}\p{Katakana}]+\z/u';

    $spoof = new Spoofchecker;
    $spoof->setAllowedLocales('en_US,ja_JP');

    var_dump(
        false === $spoof->isSuspicious('latin漢字ひらがなカタカナ'),
        1 === preg_match($pattern, $str)
    );

ほかに、ドメイン名登録業サービスで登録可能な文字であるかどうかを判定するには準拠する IDNA のバージョンによって異なりますので、IDNA の仕様書を調べる必要があります。IDNA2003 であれば参照される Unicode のバージョンは 3.2 です。IANA は国際化ドメインに許可される文字のテーブルを配布しています ([Repository of IDN Practices](https://www.iana.org/domains/idn-tables))。

濁点つきひらがなのように同じ文字を異なる表現で登録することを認めたくない場合、`normalizer_is_normalized` を使ってチェックする必要があります。Nameprep で適用される正規化の形式は KC です。

許可する文字テーブルをもとに判定する方法を採用しているのが ZF2 の `Validator\EmailAddress` です (判定のためのテーブルの[ディレクトリ](https://github.com/zendframework/zf2/tree/master/library/Zend/Validator/Hostname))。ただし、どこのリポジトリから採用したテーブルなのか明記されていないのと、2014年の時点では、ローカルパートは UTF-8 に対応していません。