Nunca confie no usuário: validação e sanitização na prática
O usuário vai colocar tudo que não devia no seu formulário. Script, SQL, emoji de 4 bytes, arquivo executavel disfarado de imagem. Aqui vai o que você precisa validar e como fazer isso sem enlouquecer.