यह क्यों मौजूद है

अदृश्य यूनिकोड द्विदिशात्मक वर्ण सोर्स कोड को निष्पादित होने से अलग तरीके से प्रदर्शित कर सकते हैं। यह CVE-2021-42574 है — ट्रोजन सोर्स हमला।

एक हमलावर ऐसे वर्णों को एम्बेड करता है जो टेक्स्ट की दिशा उलट देते हैं। कोड समीक्षा में, आप यह देखते हैं:

access_level = "admin"

लेकिन कंपाइलर यह देखता है:

access_level = "user"

ये वर्ण अदृश्य होते हैं। आपका एडिटर इन्हें नहीं दिखाएगा। आपका समीक्षक इन्हें नहीं पकड़ पाएगा। bidi-guard पकड़ लेगा।

इंस्टॉल

pip install bidi-guard

त्वरित शुरुआत

# Scan current directory recursively
bidi-guard scan .

# Scan a specific file
bidi-guard scan src/auth.py

सभी द्विदिशात्मक यूनिकोड वर्णों का पता लगाता है, उनकी सटीक स्थिति, संदर्भ और गंभीरता दिखाता है।

कमांड्स

CI एकीकरण

GitHub Action

name: BiDi Guard
on: [push, pull_request]
jobs:
  bidi-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.11"
      - run: pip install bidi-guard
      - run: bidi-guard ci .

Pre-commit

अपने .pre-commit-config.yaml में जोड़ें:

repos:
  - repo: https://github.com/Moshe-ship/bidi-guard
    rev: v0.1.0
    hooks:
      - id: bidi-guard

पहचाने गए वर्ण

सभी 16 यूनिकोड द्विदिशात्मक नियंत्रण वर्ण:

उच्च या गंभीर के रूप में चिह्नित वर्ण प्रदर्शित टेक्स्ट को सक्रिय रूप से पुनः क्रमबद्ध कर सकते हैं — ये वही हैं जो ट्रोजन सोर्स हमलों में उपयोग किए जाते हैं।

लाइब्रेरी के रूप में

from bidi_guard import scan_file, Finding

findings = scan_file("src/auth.py")
for f in findings:
    print(f"{f.char_name} at line {f.line}:{f.col} — severity: {f.severity}")

सिर्फ grep क्यों नहीं?

ये वर्ण अदृश्य हैं। सचमुच अदृश्य:

grep "RLO" file.py    # finds nothing
cat file.py            # looks completely normal

bidi-guard आपको वह दिखाता है जो grep नहीं दिखा सकता: सटीक वर्ण, उसकी स्थिति, आसपास का संदर्भ, गंभीरता स्तर, और वह क्या करता है। यह उन्हें हटाकर ऑटो-फिक्स भी कर सकता है।

लाइसेंस

MIT — Musa the Carpenter