展开讨论

solaticHN来源作者
创业与收入经验摘录 · 机器翻译

我在$company工作过，客户仪表板是设置在通配符下 - https://*.$company.com …

… 我在$company工作过，客户仪表板是设置在通配符下 - https://*.$company.com ，例如 https://foo.$company.com 。猜猜当有人选择的仪表板别名与实际记录冲突时会发生什么，比如 `www` 或 `blog`？他们的仪表板就完全无法访问了。当然，更改前缀的设置也在 https://$dashboard.$company.com 上，所以客户无法自己修复，必须寻求支持。当然，支持的工具也没有直接更改$dashboard前缀的功能……弄清楚如何构建拒绝列表并不是一件容易的事。当然，已存在DNS条目。然后还有已存在的$dashboard前缀。还有脏话、Unicode符号、Punycode（即xn--前缀）……然后还要设置从旧前缀的重定向，并保留它，这样以后没有人可以再申请它……我并不惊讶Slack在这里有漏洞，这是一个根本上很难的问题。

源讨论一位前Gizmodo的作家将名字改为'Slackbot'，数月内未被发现原帖 133 条评论 · 导入时统计
4

社区评论 0

还没有社区评论，来聊聊你的看法。

原讨论中的回复 4

仅展示本次导入中包含的直接回复。中文为机器翻译，可查看英文原文。

HE
hennellHN

限制可用字符数，并在允许更改之前检查页面是否已经解析。客户永远不会被锁定，并且字符无法冒充他人。 如果你想允许某些符号，你可以选择白名单或者检查用户名与核心名称（比如slackbot）之间的莱文斯坦距离是否合适，然后禁止这些内容或标记给人工“嘿，这可能是个问题”。 从根本上说，阻止所有问题很难，但阻止最大的问题并不难。

完整原文
CO
codetrotterHN

例如，Zendesk 将其客户仪表板放在他们主域名的直接子域名下。他们也允许人们使用自己的域名。要使用自己的域名，您必须将其设置为他们提供的子域名的 CNAME。https://support.zendesk.com/hc/en-us/articles/4408838571930-... 我认为像 GitHub 和 Shopify 以及其他许多公司所做的那样更好。至少拥有一个单独的域名，这样客户页面可以作为其子域名。 GitHub 使用 GitHub.com 作为他们自己的域名，使用 GitHub.io 作为页面域名，并为用户使用子域名。 Shopify 使用 Shopify.com 作为他们自己的网站，使用 myshopify.com 作为客户子域名。 使用单独的域名为客户提供优势包括： - 您不会拥有太多您自己想要的现有或未来的子域名。（您仍然需要过滤，以防止人们使用冒犯性或误导性的词语等。）…

完整原文
K8
k8svetHN

“不要有冲突的根本不同的命名空间”在这种情况下并不是一个很难解决的问题。

完整原文
GW
gwernHN

你真的要为 Slack 找借口吗？'o'/'о' 只是最容易的同形异义攻击（https://en.wikipedia.org/wiki/IDN_homograph_attack）之一： > 当他要离开时，麦凯把他的头像换成了一个看起来更生气的 Slackbot 真实图标。他还把名字改成了“Slackbot”。事实上，你不能在 Slack 上把名字改成“Slackbot”，因为服务会告诉你这个名字已经被占用了。但是如果你使用一个看起来像 Slackbot 中某个字母的特殊字符，比如用 Unicode 字符“о”代替“o”，那就有效了。 事实上，这种英文字母和西里尔字母的组合在最早发表的同形异义攻击中就用过：https://web.archive.org/web/20200102175251/http://www.cs.tec... 早在 2001 年！ 2022 年，Slack 的估值约为 200 亿美元，…

完整原文
在 Hacker News 阅读

尊重不同观点，分享具体经验。

登录后即可发帖、评论、转发和引用。