Зачем это нужно

Невидимые двунаправленные символы Unicode могут заставить исходный код отображаться иначе, чем он выполняется. Это CVE-2021-42574 — атака Trojan Source.

Злоумышленник встраивает символы, которые меняют направление текста. При проверке кода вы видите:

access_level = "admin"

Но компилятор видит:

access_level = "user"

Символы невидимы. Ваш редактор их не покажет. Ваш рецензент их не заметит. bidi-guard заметит.

Установка

pip install bidi-guard

Быстрый старт

# Сканировать текущую директорию рекурсивно
bidi-guard scan .

# Сканировать конкретный файл
bidi-guard scan src/auth.py

Находит все двунаправленные символы Unicode, показывает их точное положение, контекст и уровень опасности.

Команды

Интеграция с CI

GitHub Action

name: BiDi Guard
on: [push, pull_request]
jobs:
  bidi-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.11"
      - run: pip install bidi-guard
      - run: bidi-guard ci .

Pre-commit

Добавьте в ваш .pre-commit-config.yaml:

repos:
  - repo: https://github.com/Moshe-ship/bidi-guard
    rev: v0.1.0
    hooks:
      - id: bidi-guard

Обнаруживаемые символы

Все 16 управляющих двунаправленных символов Unicode:

Символы, отмеченные как Высокий или Критический, могут активно изменять порядок отображаемого текста — именно они используются в атаках Trojan Source.

В качестве библиотеки

from bidi_guard import scan_file, Finding

findings = scan_file("src/auth.py")
for f in findings:
    print(f"{f.char_name} at line {f.line}:{f.col} — severity: {f.severity}")

Почему не просто grep?

Эти символы невидимы. Буквально невидимы:

grep "RLO" file.py    # ничего не находит
cat file.py            # выглядит совершенно нормально

bidi-guard показывает то, что grep не может: точный символ, его положение, окружающий контекст, уровень опасности и то, что он делает. Он также может автоматически исправить, удалив их.

Лицензия

MIT — Musa the Carpenter