UTF-8の冗長なエンコードとは何で、なんでそれがセキュリティ的に危ないのか？を文字コード知識レヴェル3くらいの凡プログラマが考えてみる - それ図解で。・・・tohokuaikiのチラシの裏

「PHPerを買いかぶらないでもらいたい」

『要するに、「3バイト食いますよ～」っていうフラグを立てておきながら（つまり1100000のバイトを送る）、2バイトしか送らなかった場合、次の文字も巻き込んでしまうんじゃないかってことかな？これって、EUC-JPやSJISであったのと同じ問題で。それがUTF-8でも起きるっていう。そうすると、HTMLの閉じタグとかクォートを食っちゃえばXSSが簡単に成立するてことで。』

「UTF-8では特定の文字を複数の形式のバイト列で表現できる」 / コメント欄参照

オチが秀逸