Существуют ли браузеры, которые не поддерживают maxlength?

Скорее всего, это боты, которые читают имена полей и создают на их основе запросы GET и POST, а не используют HTML-форму, как это сделал бы обычный пользователь.

Вот почему проверки формы на стороне клиента никогда не бывает достаточно, чтобы гарантировать правильность данных. Проверка на стороне клиента хороша тем, что она отзывчива для конечных пользователей, но она не может предотвратить попадание неверных данных на порог вашего сервера.

В качестве примера предположим, что у меня есть поле ввода в форме с действием GET. Максимальная длина моего поля ввода равна 4. Когда я нажимаю «Отправить», я вижу URL-адрес, заканчивающийся на ?field=1234. Ничто не мешает мне обновить этот URL-адрес до ?field=123456789 и нажать Enter. Подобные вещи можно делать с помощью POST-действий, но для этого нужен инструмент.

Я считаю, что каждый браузер поддерживает его, вот несколько ссылок для справки:

Максимальная длина | СайтПоинтСсылка

Maxlength | Школы W3

Очевидно, что есть способ обойти это - вы должны убедиться, что у вас ВСЕГДА есть адекватная проверка на стороне сервера, поскольку клиентской стороны обычно недостаточно.

Все браузеры поддерживают maxlength. Однако этот атрибут можно легко удалить/изменить с помощью методов DOM или, например, с помощью панели инструментов веб-разработчика Firefox.

несколько писем, которые я получил, показывают, что пользователь создал булавку с более чем 4 символами.

Как это возможно? Существуют ли браузеры, которые не поддерживают maxlength?

Я бы исследовал заголовки USER_AGENT и REFERER, связанные с этими действиями пользователя. Возможно, злоумышленник отправил формы программным путем в обход ограничений браузера, просто чтобы проверить защиту вашего периметра. Если это так, вы должны увидеть там некоторые закономерности.

В любом случае, помимо этих обоснованных догадок, maxlength не следует рассматривать как средство защиты ввода. Все, что находится на стороне клиента, не находится под вашим контролем, оно существует только для того, чтобы сделать пользовательский интерфейс более интуитивным, интерактивным. Вы всегда должны проверять все на сервере. В этом случае PIN-код состоит из 4 цифр, в противном случае отклоните ввод. Золотое правило состоит в том, чтобы относиться ко всем пользовательским данным как к враждебным и тщательно проверять их на сервере.

В общем, пытаться применять правила для пользовательского ввода на стороне клиента — плохая идея. У меня был опыт, когда мы поручили некоторую работу некоторым программистам, и их идея дезинфекции пользовательского ввода заключалась в том, чтобы пользователи не могли вводить более 10 символов в любом заданном поле. Быстрое изменение firebug и, о, смотри, я могу удалить базу данных сервера с помощью минимальной инъекции SQL.

Если бы я был вами, я бы проверил максимальную длину с помощью любого скрипта, добавляющего информацию о пользователе в вашу базу данных, и возвращал бы ошибки проверки формы, если пользовательский ввод превышает максимальную указанную длину.

Это тот тип вещей, который вы все равно должны проверять на стороне сервера, даже если клиенты почти всегда будут его поддерживать. Обойти максимальную длину очень легко — на панели инструментов разработчика Firefox есть опция «Удалить максимальную длину», или запрос можно очень легко отредактировать вручную. Я почти думаю, что в прошлом вы могли обойти максимальную длину в одном из браузеров, просто используя вырезание и вставку (например, браузер не позволял вам вводить больше символов, но если вы вставили значение, которое было 5+ символов, это ввел бы их все), хотя я не могу точно вспомнить, в каком браузере я это видел...