任何Unicode字符都可以被利用到用户的名字上

错误
1

您好。我发现了一个问题，您可以在用户名中利用除空格以外的任何 Unicode 字符。我创建了一个测试账户来展示这一点。
https://meta.discourse.org/u/%E3%85%A4%E3%85%A4%E3%85%A4/summary

此外，如果您共享同一个论坛，个人资料将变得无法点击。
个人资料链接

3 个赞
2

这是由于默认关闭的站点设置所致：

unicode_username
unicode_username1058×152 21.2 KB

我们默认禁用此功能，正是因为存在这种确切的向量。

哦……这个非常棒：

image
image1373×637 58.6 KB

4 个赞
7

感谢您报告此问题。

unicode usernames 站点设置默认情况下是关闭的，我们建议配置 allowed unicode username characters 站点设置以防止出现此类问题，因此这并不是一个大问题（请参阅 https://meta.discourse.org/t/unicode-usernames-and-group-names/117737）。

不过，我已经创建了一个修复程序，即使对于那些尚未配置允许列表的用户，也能始终防止在用户名中使用不可见字符。

4 个赞
8

此主题在上次回复后 24 小时自动关闭。不再允许回复。