Perché Questo Strumento Esiste

I caratteri Unicode bidirezionali invisibili possono far sì che il codice sorgente venga visualizzato in modo diverso da come viene eseguito. Questo è CVE-2021-42574 — l'attacco Trojan Source.

Un attaccante incorpora caratteri che invertono la direzione del testo. In una revisione del codice, vedi:

access_level = "admin"

Ma il compilatore vede:

access_level = "user"

I caratteri sono invisibili. Il tuo editor non li mostrerà. Il tuo revisore non li noterà. bidi-guard sì.

Installazione

pip install bidi-guard

Avvio Rapido

# Scan current directory recursively
bidi-guard scan .

# Scan a specific file
bidi-guard scan src/auth.py

Trova tutti i caratteri Unicode bidirezionali, mostra la loro posizione esatta, il contesto e la gravità.

Comandi

Integrazione CI

GitHub Action

name: BiDi Guard
on: [push, pull_request]
jobs:
  bidi-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.11"
      - run: pip install bidi-guard
      - run: bidi-guard ci .

Pre-commit

Aggiungi al tuo .pre-commit-config.yaml:

repos:
  - repo: https://github.com/Moshe-ship/bidi-guard
    rev: v0.1.0
    hooks:
      - id: bidi-guard

Caratteri Rilevati

Tutti i 16 caratteri di controllo Unicode bidirezionali:

I caratteri contrassegnati come Alta o Critica possono riordinare attivamente il testo visualizzato — sono quelli usati negli attacchi Trojan Source.

Come Libreria

from bidi_guard import scan_file, Finding

findings = scan_file("src/auth.py")
for f in findings:
    print(f"{f.char_name} at line {f.line}:{f.col} — severity: {f.severity}")

Perché Non Usare Semplicemente grep?

Questi caratteri sono invisibili. Letteralmente invisibili:

grep "RLO" file.py    # finds nothing
cat file.py            # looks completely normal

bidi-guard ti mostra ciò che grep non può: il carattere esatto, la sua posizione, il contesto circostante, il livello di gravità e cosa fa. Può anche correggere automaticamente rimuovendoli.

Licenza

MIT — Musa the Carpenter