SQLｲﾝｼﾞｪｸｼｮﾝについて教えてください｡現在､”基礎からのPHP”という著書でPHPを学んでおります｡【質問】以下の記述では､banのﾃﾞｰﾀ型であるint以外は受けつ…

SQLｲﾝｼﾞｪｸｼｮﾝについて教えてください｡

現在､”基礎からのPHP”という著書でPHPを学んでおります｡
【質問】
以下の記述では､banのﾃﾞｰﾀ型であるint以外は受けつけないとあります｡
さらに､preg_matchを使い攻撃に対して防御しているのがわかります｡
しかし､
今回私が作っているｻｲﾄが､ﾌｫｰﾑから数字ではなく､日本語(varchar)
例) 札幌､東京､神奈川 (ﾎﾜｲﾄﾘｽﾄでと考えましたが､これらの単語が2000近くあり現実的ではない？？)
といった内容を入れる場合どのように記述すれば安全でしょうか｡
日本語のｲﾝｼﾞｪｸｼｮﾝ対策がﾈｯﾄ上で見つけれなかったので質問です｡
<?php
$b = htmlspecialchars($_POST['a'],ENT_QUOTES);

if (preg_match("/[^0-9]/", $b)){
print "数字以外は入れないで";
}else{
$db = new PDO("mysql:host=localhost;dbname=db", "root", "1234");
$ps = $db->prepare("SELECT * FROM tb2 WHERE ban=:A");
$ps->bindParam(":A", $a);
$ps->execute();

if ($ps->rowCount() != 0){
while($i=$ps->fetch()){
print $i[0].$i[1]."<BR>";
}
}
}
?>

*http://qiita.com/tabo_purify/items/df8f2aa17094b1a60c82
こちらのｻｲﾄの､ひらがな､ｶﾀｶﾅ､漢字を許可のpreg_matchを使うのが一般的に日本語のｲﾝｼﾞｪｸｼｮﾝ対策になりますでしょうか｡

http://www.ipa.go.jp/files/000017320.pdf

上記項番5.3にあるようなﾌﾟﾚｰｽﾎﾙﾀﾞを使うのが一般的な方法だと思います｡
これは､PHPに限らずたいていの言語においてSQLｲﾝｼﾞｪｸｼｮﾝ対策で推奨される方法です｡

『PHPとｾｷｭﾘﾃｨの解説書12種類を読んでSQLｴｽｹｰﾌﾟの解説状況を調べてみた | 徳丸浩の日記』によると､『基礎からのPHP』には､ﾌﾟﾚｰｽﾎﾙﾀﾞの説明があるそうなので､確認してください｡

他のSQLｲﾝｼﾞｪｸｼｮﾝ対策には､ｲﾝｼﾞｪｸｼｮﾝに使える文字をｴｽｹｰﾌﾟする方法がありますが､考慮漏れが発生しやすいのでお勧めできません｡

ﾄﾘﾋﾞｱ：｢大垣さん､自分のしたことを分かっていますか?｣ - Togetterまとめ

また､住所をDBに蓄積するなら､住所ｺｰﾄﾞの利用も検討してください｡
公益財団法人国土地理協会 -住所ﾏｽﾀｰ-

$db = new PDO("mysql:host=localhost;dbname=db", "root", "1234");
$ps = $db->prepare("SELECT * FROM tb2 WHERE ban=:A");
$ps->bindParam(":A", $a);

ﾊﾟﾗﾒｰﾀｸｴﾘを使用する場合は､この場所では｢SQLｲﾝｼﾞｪｸｼｮﾝ｣関係の処理は必要ないです｡

ﾊﾟﾗﾒｰﾀｸｴﾘを使わずに､SQL文を文字列で組み立てる場合に､

’
”
；

変数内に､この手の文字などが使われてると､別のSQLにすることが可能なので､その対策などをしないとﾀﾞﾒだというのが､SQLｲﾝｼﾞｪｸｼｮﾝです｡