Por que isso existe

Caracteres Unicode bidirecionais invisíveis podem fazer o código fonte ser exibido de forma diferente do que ele executa. Isso é o CVE-2021-42574 — o ataque Trojan Source.

Um atacante insere caracteres que invertem a direção do texto. Em uma revisão de código, você vê:

access_level = "admin"

Mas o compilador vê:

access_level = "user"

Os caracteres são invisíveis. Seu editor não os mostrará. Seu revisor não os perceberá. bidi-guard vai.

Instalar

pip install bidi-guard

Início Rápido

# Escaneia o diretório atual recursivamente
bidi-guard scan .

# Escaneia um arquivo específico
bidi-guard scan src/auth.py

Encontra todos os caracteres Unicode bidirecionais, mostra sua posição exata, contexto e gravidade.

Comandos

Integração CI

GitHub Action

name: BiDi Guard
on: [push, pull_request]
jobs:
  bidi-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.11"
      - run: pip install bidi-guard
      - run: bidi-guard ci .

Pre-commit

Adicione ao seu .pre-commit-config.yaml:

repos:
  - repo: https://github.com/Moshe-ship/bidi-guard
    rev: v0.1.0
    hooks:
      - id: bidi-guard

Caracteres Detectados

Todos os 16 caracteres de controle bidirecional Unicode:

Caracteres marcados como Alta ou Crítica podem reordenar ativamente o texto exibido — estes são os usados em ataques Trojan Source.

Como Biblioteca

from bidi_guard import scan_file, Finding

findings = scan_file("src/auth.py")
for f in findings:
    print(f"{f.char_name} at line {f.line}:{f.col} — severity: {f.severity}")

Por que não apenas grep?

Esses caracteres são invisíveis. Literalmente invisíveis:

grep "RLO" file.py    # não encontra nada
cat file.py            # parece completamente normal

bidi-guard mostra o que o grep não pode: o caractere exato, sua posição, contexto ao redor, nível de gravidade e o que ele faz. Também pode corrigir automaticamente removendo-os.

Licença

MIT — Musa, o Carpinteiro