Szukam sposobu jak zabezpieczyć pole z imieniem i nazwiskiem przed email header injection.

Pole to sklejam w nagłówku maila:
Reply-to: Imie i nazwisko <adres@email.pl>

Adres email to osobne pole. Mi chodzi tylko o imie i nazwisko.
Pomyślałem o preg_match i klasie znaków. W końcu może się zdarzyć obcojęzyczne imie i nazwisko.

Mój pomysł:

[PHP] pobierz, plaintext 
preg_match('/[[:alnum:] ]+/u', "ĘÓĄŚŁŻŹĆŃ ęóąśłżźćń");
[PHP] pobierz, plaintext 

Działa Ale czytam w dokumentacji php.net, że


Polskie znaki mają wyższy kod niż 128 a mimo wszystko działa.

1. Zastanawiam się czy to nie przypadek?
2. Jeśli to przypadek to jak Wy zabezpieczylibyście to pole?

Ja to robię tak:

[PHP] pobierz, plaintext 
preg_match('/^[a-zĄĆĘŁÓŚŻŹąćęłóśżź ]+$/iu', $string)
[PHP] pobierz, plaintext 

A jak w polu ktoś wpisze niemieckie umlauty? Sprawdź, że zadziała Ci to co ja wstawiłem czyli klasa [:alnum:]. Dziwi mnie to jednak bo dokumentacja mówi, że działać nie powinno.

W Twoim przykładzie zadziała wszystko nawet znaki specjalne, ponieważ nie dałeś znaku początku ciągu.

Dodaj sobie do mojego przykładu Niemieckie przegłosy i po problemie.
Np.:

[PHP] pobierz, plaintext 
preg_match('/^[a-zĄĆĘŁÓŚŻŹąćęłóśżźÄÖ itd... ]+$/iu', $string)
[PHP] pobierz, plaintext 

Łapie wszystko bo dałem spacje we wzoru powinienem zrobić zaprzeczenie żeby wyłapać czy są niepożadane znaki

[PHP] pobierz, plaintext 
preg_match('/[^[:alnum:] ]+/u', "ĘÓĄŚŁŻŹĆŃ ęóąśłżźćń")
[PHP] pobierz, plaintext 

A samo nie wystarczy?

Bardziej chciałbym się dowiedzieć od kogoś kto lepiej zna temat - czy klasy znaków które można używać w funkcjach typu preg_* uwzględniają polskie znaki.
Bo mi wychodzi, że tak a dokumentacja mówi wprost przeciwnie i jasno.

@Sebek87: Unikod definiuje bodajże około 600 znaków, które są poprawnymi literami. Solidna aplikacja powinna je wszystkie przepuszczać. Dopisywanie każdej z osobna to idiotyzm.
@!*!: \w to odpowiednik a-zA-Z0-9_, więc nie wystarczy - brak obsługi liter niełacińskich.
@bartu$: ^[\pL ]+$ - to wyrażenie, którego szukasz.

EDIT:
@bartu$: a-z nie łapie polskich znaków.

Tak jeśli uwzględnisz to poprzez sekwencje lub modyfikatory. http://pl1.php.net/manual/en/reference.pcr...tern.syntax.php

@Crozin - racja, pomyliłem to ze zmianą znaków.

Dzięki wszystkim za odpowiedzi w tym temacie.