Du bist mehr oder weniger nur auf der sichren Seite, wenn du UTF-8 benutzt und zwar für das Encoding der Seite als auch accept-charset.

Wenn natürlich irgendwer irgendein Textverarbeitungsprogramm benutzt, darin Text tippt und dann mit Strg-A Strg-C alles ins Textfeld des Browsers kopiert, dann bist du machtlos.

Ich würde eben nur bestimmte Zeichen zulassen.