>>634
外部から入力された文字列を、そのまんまディレクトリ作成等に使ったりしない
のがセキュリティの常識。
普通はサニタイズといって問題を起こしそうな文字(/とか\とか:とかとかとか)を
取り除いてから使う。

何をするか(ここではディレクトリ作成)によって危険な文字の集合が変わって
くるので、ちゃんと調べて万全を期すべし。