如何在C#源代码中自动检测Unicode Bidi（特洛伊源码）攻击？

1. 可管控源码场景（包含参与编译的外部源码、直接集成到自有代码的外部源码两类场景） #

这两类场景你可以直接拿到源码做校验，是风险管控的核心环节，可通过以下自动机制实现全量覆盖：

• 启用Visual Studio内置分析规则：VS 2022 17.0及以上版本已经默认内置了对应检测规则，规则ID为CA5378（禁止源代码中出现不可信的Unicode控制字符）。你只需要在项目属性的「代码分析」配置页，将该规则的严重等级设置为错误，编译时如果源码中包含可用于漏洞攻击的Bidi类Unicode控制字符，会直接阻断构建，不需要额外安装第三方组件。
• 预构建事件加强制扫描：可以在项目的预构建事件中加入PowerShell校验脚本，全量扫描所有.cs文件中是否包含风险控制字符，命中就终止构建，参考脚本如下：

  Get-ChildItem -Path . -Recurse -Filter *.cs | ForEach-Object {
    if (Select-String -Path $_.FullName -Pattern '[\u202A\u202B\u202C\u202D\u202E\u2066\u2067\u2068\u2069]') {
      Write-Error "文件 $($_.FullName) 存在可疑Unicode控制字符，构建终止"
      exit 1
    }
  }
  

• CI/CD门禁校验：在代码合并流水线中加入上述字符扫描逻辑，只要命中风险字符就直接拦截合并请求，不需要人工介入即可堵死代码合入环节的风险。

2. 预编译程序集场景（无源码的第三方依赖场景） #

这类场景无法直接排查源码，可通过以下方案降低风险：

• 开启二进制元数据扫描：使用.NET官方的FxCop二进制分析扩展，自定义扫描规则检测程序集元数据、字符串常量中是否包含风险Bidi控制字符，可筛查出植入了攻击字符的恶意程序集。
• 依赖信任管控：仅从官方NuGet源拉取依赖，开启NuGet包签名校验，拒绝安装未签名、发布者不可信的第三方包，从源头降低遇到恶意程序集的概率。

3. 补充规避规则 #

• 统一编码规范：要求业务代码仅可使用ASCII可打印字符，多语言展示内容统一放在.resx资源文件中，禁止直接在.cs源码中写入非ASCII字符，从根源上避免引入未知Unicode控制字符。
• 代码审查辅助配置：你所用的代码托管平台如果支持Unicode控制字符高亮，直接开启该配置，不可见的Bidi控制字符会被特殊标记，即使人工审查也能快速发现异常。

内容的提问来源于stack exchange，提问作者StayOnTarget