Go 語言社群目前正在討論一個微妙但重要的安全問題，涉及檔案命名約定中的 Unicode 變體選擇符，特別是這些字元如何被利用來繞過 Go 的測試檔案檢測系統。
安全漏洞
關於 Go 編譯器如何處理包含特殊 Unicode 字元的檔案，特別是測試檔案，出現了一個重要的討論。通常情況下，Go 在正常編譯過程中會跳過以 _test.go 結尾的檔案，但存在一個令人擔憂的漏洞：攻擊者可以使用 Unicode 變體選擇符操縱檔名，建立看似是測試檔案但實際上會被編譯到主程式中的檔案。
模組系統保護
根據 Russ Cox 的評論，Go 的模組系統對這個漏洞提供了一定的保護。雖然本地包可以使用包含 Unicode 變體選擇符（如 U+FE0E）的檔名建立和構建，但模組系統會阻止建立或下載包含此類字元的模組。這意味著攻擊向量僅限於頂層程式碼倉庫，不會影響依賴項。
全域性狀態漏洞
討論還指出了 Go 架構中一個更廣泛的安全問題。根據社群反饋，具有安全關鍵性且可全域性修改的包的狀態存在重大漏洞。一個典型的例子是標準庫中的 (crypto/rand).Reader，它可以被任何 io.Reader 值覆蓋。雖然這個問題已在 GitHub 上討論過，但語言維護者選擇不實施直接修復，認為這樣的更改可能只會提供虛假的安全感。
影響和緩解措施
這個漏洞的安全影響特別令人擔憂，原因如下：
- 大多數開發工具（包括 Vim、VSCode 和主要程式碼託管平臺）無法清晰顯示這些特殊字元的存在
- 程式碼審查可能會忽略這些細微的操作
- 惡意程式碼可能看起來像合法的測試程式碼，但實際上會被編譯到主程式中
儘管 Go 的模組系統提供了一些保護，但組織應考慮實施額外的程式碼審查實踐和工具，以檢測檔名中的 Unicode 變體選擇符，特別是對於頂層程式碼倉庫。
當前狀態
儘管這個問題已經報告給 GitHub、GitLab 和 BitBucket 等主要程式碼託管平臺，但沒有一個平臺將其歸類為安全問題。Go 安全團隊（security@golang.org）也未對這個漏洞的報告作出回應，這表明社群可能需要採取額外措施來解決這個安全問題。