Убедитесь, что $GOPATH находится в вашем $PATH.

> Из исходного кода

Если команда make build.tsfinder не удалась, попробуйте:

С помощью curl

> Из релиза

Обнаружение Trojan Source

> Помощь в обнаружении Trojan Source для ручного ревью кода или в конвейерах CI/CD (двунаправленные символы Unicode)

Для обнаружения Trojan Source в файле или директории <путь>:

Обнаружение только в текстовых файлах

> Файлы исходного кода, как правило, текстовые. Исключение бинарников из сканирования может помочь отсеять ложные срабатывания

Добавьте -v, чтобы увидеть, какие файлы были пропущены при сканировании.

Детальнее (Гомоглифы)

Trojan Source — не единственная угроза. Другая — «Гомоглифы». (Что это?)

tsfinder помогает их обнаруживать с помощью команды homoglyph:

Вы можете увидеть, есть ли родственное слово (т.е. слово с тем же «скелетом») для найденных гомоглифов в путь, используя флаг --sibling:

Функциональность в разработке, в основном зависит от других проектов

Визуализация Trojan Source

> Визуализация того, как код на самом деле интерпретируется машинами/компиляторами

tsfinder намеренно не очень многословен. По умолчанию он выводит только информацию о том, был ли обнаружен код Trojan Source. Чтобы получить больше информации и визуализировать опасные строки, добавьте флаг -v.

Чтобы лучше видеть, где находятся Trojan Source, вы можете включить цветной вывод с помощью флага -c (также полезно при сканировании директории):

Демо

Гомоглифы

Альтернатива

Как отметил @ioah86 здесь, Trojan Source также можно обнаружить с помощью однострочника через grep.

Основное отличие — формат вывода и код возврата (tsfinder завершается с кодом 0, если Trojan Source не найден, и 1 в противном случае; для grep — наоборот).

Также этот однострочник не решает проблему гомоглифов.