To setup PHP for UTF-8
データベース、スクリプトを記述するファイルの文字エンコーディングはPHPの文字エンコーディングを使用する方が設定が行い易いです。
default_charset=”UTF-8″
ダイナミックコンテンツの文字コードセットは必ず指定しなければならない。（セキュリティ上の理由。詳細は 2000年2月のCERTのXSSアドバイザリを参照)
magic_quotes_gpc=off
マルチバイト文字エンコーディング環境のみでなく、セキュリティ上も有害であるので必ずoffに設定する。ポータブルなスクリプトの場合、この設定 がonである場合にstrip_slashes()を全ての入力に適用するコードをスクリプトの開始時に実行する。稀に magic_quote_gpc=onである事を前提としているアプリケーションもある。そのようなアプリケーションは使わない方が良い。
mbstring.input_encoding=”pass”
現在のブラウザでHTMLを記述した文字エンコーディング以外で文字を送信してくるようなブラウザはない。（携帯などモバイル環境を除く）
mbstring.internal_encoding=”UTF-8″
ブラウザから送信される文字エンコーディングはcharsetと同じはず。プログラム側では必ず送信された文字 エンコーディングが正当なUTF-8エンコーディングであるか確認する事。
mbstring.output_encoding=”pass”
出力はinternal_encodingで行われる。つまりUTF-8。（携帯などモバイル環境を除く）
mbstring.language=”japanese”
言語環境を日本語に設定。mb_send_mail関数などの動作に影響する。
mbstring.substitute_charactor=””
入力に変換出来ない文字エンコーディングを含む場合、アプリケーションの実行を停止しなければならない。本来、セキュリティ上不正な文字を削除すべ きではないが、古いPHP(PHP 4.4.2, 5.1.2以下）では文字エンコーディングを確認する仕組みが無い。古いPHPで効率的に不正エンコーディングを検出するには文字列の長さの変化で確認す る。*1
PHP 5.1.3, 4.3.3以降はmb_check_encoding関数を利用してスクリプトを実行の初期段階で不正エンコーディングを検出することが望ましい。