# Любой символ Unicode может быть использован для манипуляции именем пользователя

**URL:** https://meta.discourse.org/t/any-unicode-character-can-be-exploited-onto-the-users-name/263032
**Category:** Bug
**Created:** [27.Апрель.2023 06:13:59 UTC](https://meta.discourse.org/t/any-unicode-character-can-be-exploited-onto-the-users-name/263032 "2023-04-27T06:13:59Z")
**Posts on this page:** 4
**Page:** 1

<div class="post-metadata">

### Author: ![twofoursixeight](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/twofoursixeight/32/574822_2.png) [@twofoursixeight](https://meta.discourse.org/u/twofoursixeight)
#### Post date: [27.Апрель.2023 06:13:59 UTC](https://meta.discourse.org/t/any-unicode-character-can-be-exploited-onto-the-users-name/263032/1 "2023-04-27T06:13:59Z")

</div>

Здравствуйте. Я столкнулся с проблемой, позволяющей использовать в имени пользователя любой символ Unicode, кроме пробела. Я создал тестовый аккаунт для демонстрации этого:  
[https://meta.discourse.org/u/%E3%85%A4%E3%85%A4%E3%85%A4/summary](https://meta.discourse.org/u/%E3%85%A4%E3%85%A4%E3%85%A4/summary)

Кроме того, если вы находитесь на том же форуме, профиль становится некликабельным.  
[ссылка на профиль](https://meta.discourse.org/u/%E3%85%A4%E3%85%A4%E3%85%A4/summary)

---

<div class="post-metadata">

### Author: ![sam](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/sam/32/102149_2.png) [@sam](https://meta.discourse.org/u/sam)
#### Post date: [27.Апрель.2023 07:17:33 UTC](https://meta.discourse.org/t/any-unicode-character-can-be-exploited-onto-the-users-name/263032/2 "2023-04-27T07:17:33Z")

</div>

Это сделано намеренно из-за настройки сайта **выключено по умолчанию** :

 ![unicode_username](https://global.discourse-cdn.com/meta/original/4X/f/4/7/f470c23a138f26cc3d07cab95212828c25ae0d13.png)

Мы отключаем это по умолчанию именно из-за этого вектора.

Ох… это очень приятно:

 ![image](https://global.discourse-cdn.com/meta/original/4X/9/e/6/9e6c8dda1de2c83b2efc482393cddc34da68328c.png)

---

<div class="post-metadata">

### Author: ![gerhard](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/gerhard/32/119479_2.png) [@gerhard](https://meta.discourse.org/u/gerhard)
#### Post date: [02.Май.2023 07:33:21 UTC](https://meta.discourse.org/t/any-unicode-character-can-be-exploited-onto-the-users-name/263032/7 "2023-05-02T07:33:21Z")

</div>

Спасибо за сообщение об этой проблеме.

Настройка сайта `unicode usernames` по умолчанию отключена, и мы рекомендуем настроить параметр `allowed unicode username characters`, чтобы избежать подобных проблем, поэтому это не является критической проблемой (см. [Unicode usernames and group names](https://meta.discourse.org/t/unicode-usernames-and-group-names/117737)).

Тем не менее, я подготовил исправление, которое всегда будет предотвращать использование невидимых символов в именах пользователей, даже для тех, кто не настроил разрешённый список.

> <https://github.com/discourse/discourse/pull/21331>
>
> The list of excluded characters is based on https://invisible-characters.com/ an…d the list of invisible characters used by Visual Studio Code (https://github.com/hediet/vscode-unicode-data)

---

<div class="post-metadata">

### Author: ![gerhard](https://sea3.discourse-cdn.com/meta/user_avatar/meta.discourse.org/gerhard/32/119479_2.png) [@gerhard](https://meta.discourse.org/u/gerhard)
#### Post date: [03.Май.2023 07:33:39 UTC](https://meta.discourse.org/t/any-unicode-character-can-be-exploited-onto-the-users-name/263032/8 "2023-05-03T07:33:39Z")

</div>

Эта тема была автоматически закрыта через 24 часа после последнего ответа. Новые ответы больше не принимаются.