Pourquoi cela existe

Les caractères Unicode bidirectionnels invisibles peuvent faire que le code source s'affiche différemment de son exécution. Il s'agit de CVE-2021-42574 — l'attaque Trojan Source.

Un attaquant insère des caractères qui inversent la direction du texte. Lors d'une revue de code, vous voyez :

access_level = "admin"

Mais le compilateur voit :

access_level = "user"

Les caractères sont invisibles. Votre éditeur ne les affichera pas. Votre relecteur ne les détectera pas. bidi-guard le fera.

Installer

pip install bidi-guard

Démarrage rapide

# Analyser recursivement le répertoire courant
bidi-guard scan .

# Analyser un fichier spécifique
bidi-guard scan src/auth.py

Trouve tous les caractères Unicode bidirectionnels, affiche leur position exacte, leur contexte et leur sévérité.

Commandes

Intégration CI

GitHub Action

name: BiDi Guard
on: [push, pull_request]
jobs:
  bidi-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.11"
      - run: pip install bidi-guard
      - run: bidi-guard ci .

Pre-commit

Ajoutez à votre .pre-commit-config.yaml :

repos:
  - repo: https://github.com/Moshe-ship/bidi-guard
    rev: v0.1.0
    hooks:
      - id: bidi-guard

Caractères détectés

Les 16 caractères de contrôle Unicode bidirectionnels :

Les caractères marqués Élevé ou Critique peuvent réordonner activement le texte affiché — ce sont ceux utilisés dans les attaques Trojan Source.

En tant que bibliothèque

from bidi_guard import scan_file, Finding

findings = scan_file("src/auth.py")
for f in findings:
    print(f"{f.char_name} at line {f.line}:{f.col} — severity: {f.severity}")

Pourquoi ne pas simplement utiliser grep ?

Ces caractères sont invisibles. Littéralement invisibles :

grep "RLO" file.py    # ne trouve rien
cat file.py            # semble tout à fait normal

bidi-guard vous montre ce que grep ne peut pas : le caractère exact, sa position, le contexte environnant, le niveau de sévérité et ce qu'il fait. Il peut également corriger automatiquement en les supprimant.

Licence

MIT — Musa the Carpenter