Код прошёл ревью, потому что читался правильно. Выполняется он иначе

[InsiderCrush]

Ок! Поверхность атаки реальна. Но практическая ценность от нового вида проверок - минимальна в долгосрочной перспективе. Если вы пользователь, вы не станете код читать своего нового продукта. Если вы автор и в ваш код кто то влез, то Юникод в коде уже далеко не главная ваша проблема.

[jbenderov]

Спасибо за комментарий! Здесь не говорится, что это самый популярный вектор, он скорее подан с посылом для тех, кто сейчас или когда-то в будущем будет строить процессы безопасной работы с кодом (чтобы учитывали, что такие кейсы бывают). Я вижу это как интеграцию в CI, когда при пролитии кода запускается статический анализатор, который помимо проблемных моментов (наличие уязвимостей, алерты линтеров и пр.) подсвечивает ещё подобные кейсы. Кмк проверка может оказаться весьма полезной

[InsiderCrush]

Тут согласен. Проверки обычно пакетно проводят. Добавить еще одну можно. Она легкая. Для перфекционистов.

[tdrz]

Стоит VSCode с модулем python.
Видит все 3 случая.

[skritosss]

Согласен с "Если проверять весь файл подряд, вывод утонет в кириллице из строк и комментариев, и правило быстро отключат как бесполезное". Я пришёл к тому же с другой стороны, у меня детектор опасных формулировок срабатывал на правилах техники безопасности, и основная загвоздка была не в пропущенных случаях, а в том, что люди перестают читать предупреждения вообще...
Для такого класса проверок пресижн важнее рекол, хотя учат обычно обратному