Por Qué Existe Esto

Los caracteres Unicode bidireccionales invisibles pueden hacer que el código fuente se muestre de forma distinta a como se ejecuta. Esto es CVE-2021-42574 — el ataque Trojan Source.

Un atacante incrusta caracteres que invierten la dirección del texto. En una revisión de código, ves:

access_level = "admin"

Pero el compilador ve:

access_level = "user"

Los caracteres son invisibles. Tu editor no los mostrará. Tu revisor no los detectará. bidi-guard sí lo hará.

Instalación

pip install bidi-guard

Inicio Rápido

# Scan current directory recursively
bidi-guard scan .

# Scan a specific file
bidi-guard scan src/auth.py

Encuentra todos los caracteres Unicode bidireccionales, muestra su posición exacta, contexto y severidad.

Comandos

Integración con CI

GitHub Action

name: BiDi Guard
on: [push, pull_request]
jobs:
  bidi-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.11"
      - run: pip install bidi-guard
      - run: bidi-guard ci .

Pre-commit

Añade a tu .pre-commit-config.yaml:

repos:
  - repo: https://github.com/Moshe-ship/bidi-guard
    rev: v0.1.0
    hooks:
      - id: bidi-guard

Caracteres Detectados

Los 16 caracteres de control Unicode bidireccionales:

Los caracteres con severidad Alta o Crítica pueden reordenar activamente el texto mostrado: estos son los que se utilizan en los ataques Trojan Source.

Como Biblioteca

from bidi_guard import scan_file, Finding

findings = scan_file("src/auth.py")
for f in findings:
    print(f"{f.char_name} at line {f.line}:{f.col} — severity: {f.severity}")

¿Por Qué No Usar Simplemente grep?

Estos caracteres son invisibles. Literalmente invisibles:

grep "RLO" file.py    # finds nothing
cat file.py            # looks completely normal

bidi-guard te muestra lo que grep no puede: el carácter exacto, su posición, el contexto circundante, el nivel de severidad y qué hace. También puede corregir automáticamente eliminándolos.

Licencia

MIT — Musa the Carpenter