Нужно запретить все символы, кроме символов из белого списка типа a-zA-Z0-9_ Проверка должна быть на сервере. На клиенте проверка нужна, только чтобы не перегружать страницу лишний раз.