Citation:
...serait il plus prudent de remplacer les "[a-z]+" et "[a-z]*" par des "[a-z]{1,24}" et "[a-z]{0,24}" par exemple? (niveau sécurité)
Je ne pense pas qu'il est souhaitable de le faire comme ça. Il dégrade la performance d'une regex sans une nécessité accablante. Je dirais plutôt mettre un "lookahead" négatif au début dans le sens que la longeur du texte plus long qu'un maximum (dit, par exemple, 30 - voir dessous) serait invalidée. Le nombre concret n'a pas d'importance critique pour provisionner un minimum de protection à la bdd.