¿Necesita restringir los caracteres posibles de un nombre de usuario? [cerrado]

Hay un poco más de razón para restringir los caracteres de un nombre de usuario que para restringir los caracteres de una contraseña. Esencialmente, el nombre de usuario actúa como un identificador de registro en un sistema de inicio de sesión: debe utilizar la entrada para encontrar el hash de contraseña en su sistema de inicio de sesión. Con las declaraciones de base de datos preparadas, esto no es realmente un problema, pero muchos sistemas no usan declaraciones preparadas, por lo tanto, la gran cantidad de ataques de inyección de SQL que aún son posibles.

Si no está utilizando declaraciones preparadas, tiene dos opciones. Primero, puedes pasar a través de la entrada no modificada. Esta es una mala idea. Considere un nombre de usuario como ' or 1=1 -- . Es válido, en teoría, pero si su sistema de inicio de sesión usa una línea como select * from users where username=$username and password=hash($password) , acaba de hacer un punto de inyección SQL. Esto es más común de lo que cabría esperar.

Alternativamente, puedes desinfectar consistentemente en tu aplicación. Si elige esto, debe asegurarse de que todas las formas posibles de iniciar sesión (sitio web, aplicación móvil, API) utilicen el mismo proceso de desinfección. Podría (y este es un ejemplo malo , no usar en producción). La URL codifica todos los caracteres en el nombre de usuario, por lo que el mismo nombre de usuario se almacenaría como %27+or+1%3D1+-- . Esto es un poco mejor que el anterior, pero puede provocar problemas inesperados si hay algún problema con su proceso de desinfección. Incluso puedes usarlos como hash, pero luego es muy difícil vincular los informes de los usuarios con sus registros.

También tiende a imprimir los nombres de usuario dentro de la aplicación en varios puntos. Si permitiera caracteres, abriría su aplicación a vulnerabilidades de XSS. Esto no se evita a menos que genere la codificación correctamente, pero luego tiene el problema de que lo que se muestra en la aplicación podría no funcionar para iniciar sesión.

En términos de una dirección de correo electrónico como nombre de usuario, en teoría está bien. ¡Pero las direcciones de correo electrónico son perfectamente capaces de incluir casi todos los problemas anteriores también!