เครื่องตรวจจับตัวอักษรที่มองไม่เห็น

ตัวอักษรเหล่านี้มีอยู่ด้วยเหตุผลที่ชอบธรรม เช่น การจัดวางข้อความ ทิศทางของอักษร หรือการรวมตัวอักษรเข้าด้วยกัน แต่จะกลายเป็นปัญหาเมื่อตัวอักษรเหล่านี้ถูกนำมาใช้ในบริบทที่ไม่เหมาะสม เช่น ในโค้ด ไฟล์กำหนดค่า คำสั่งค้นหา หรือชื่อผู้ใช้

อักขระที่เครื่องตรวจจับค้นหา

อาการทั่วไปของข้อผิดพลาดเกี่ยวกับตัวอักษรที่ซ่อนอยู่

• การเปรียบเทียบสตริงที่ควรจะเท่ากันนั้น จริงๆ แล้วไม่เท่ากัน ให้นำค่าต่างๆ ไปใส่ในเครื่องมือนี้ แล้วตรวจสอบจำนวนไบต์
• รูปแบบคำสั่ง regex ที่ดูเหมือนจะตรงกันเมื่อดูด้วยตา แต่กลับไม่สามารถใช้งานได้ในโค้ด โดยทั่วไปมักเป็นตัวอักษร U+00A0 ที่แฝงตัวมาแทนเครื่องหมายช่องว่าง
• ตัวแยกข้อมูล JSON ล่มเมื่อใช้ข้อมูลที่วางไว้ (payload) โดยปกติจะเกิดขึ้นกับ BOM ที่อยู่ตอนต้นของข้อมูล หรือค่า U+2028 ในรูปแบบสตริงที่ JavaScript ปฏิเสธไม่รับในรูปแบบ JSON
• ชื่อเรื่องใน SEO มีความยาวไม่ถูกต้อง พื้นที่ว่างแบบ Zero-width Space จะทำให้ความยาวเกินขีดจำกัดโดยไม่มีผลเปลี่ยนแปลงที่มองเห็นได้

มุมมองด้านการโจมตีแบบ Trojan Source

ตัวอักษรสำหรับการแทนที่แบบสองทิศทาง (U+202E, U+2066… U+2069) สามารถทำให้โค้ดต้นฉบับแสดงผลตามลำดับหนึ่ง แต่กลับถูกคอมไพล์ตามลำดับอื่น ซึ่งเป็นประเภทของการโจมตีที่เรียกว่า “การโจมตีแบบโทรยาน” หากคุณตรวจสอบโค้ดจากผู้พัฒนาที่ไม่น่าเชื่อถือ ควรนำไฟล์ความแตกต่าง (diff files) ของพวกเขาไปผ่านเครื่องตรวจจับนี้ก่อนทำการรวมโค้ด