Go x/text/secure/bidirule ValidString 怎样检查标识符双向规则

我在给多语言名称做输入预检时，最容易混淆的是“字符合法”和“显示方向安全”这两件事。golang.org/x/text/secure/bidirule 的 ValidString 解决的是后者：它判断字符串是否符合 RFC 5893 定义的双向文本规则，返回一个布尔值。

最小用法很直接：

package main

import (
    "fmt"
    "golang.org/x/text/secure/bidirule"
)

func main() {
    samples := []string{"alpha-123", "123-alpha", "abc_"}
    for _, s := range samples {
        // 这里只检查 Bidi Rule，不负责白名单、规范化或业务命名。
        fmt.Printf("%q: %t\n", s, bidirule.ValidString(s))
    }
}

也就是说，返回 true 只表示方向规则通过；真正接受一个标识符前，还要继续做字符集合、长度、规范化和业务保留字检查。

ValidString 到底检查什么

RFC 5893 面向可能包含从右到左文字的标签。对于 LTR 字符串，首字符要属于 L 类，结尾要落在 L 或 EN，再允许后面跟 NSM；对于 RTL 字符串，首字符必须是 R 或 AL，末尾也必须落在规则允许的方向类别。规则还限制了数字方向类别：RTL 标签不能同时混用 EN 和 AN。

这解释了几个常见误判：一个 ASCII 字符串也值得检查，因为 RFC 明确要求 LTR 标签同样通过规则；而一段看起来“能正常显示”的文字，也不代表它适合被当作跨界面、跨语言的稳定标识。

把布尔结果接到实际输入流程

推荐把这一步放在“原始文本读取”之后、“业务标识落库”之前。先保留原始输入，检查空值和长度，再调用 ValidString；失败时给调用方一个稳定的字段错误，不要把 Unicode 内部类别直接暴露给用户。

func acceptName(raw string) error {
    // 先做业务层的空值和长度判断，避免把所有问题都归给 Bidi Rule。
    if raw == "" {
        return fmt.Errorf("name is empty")
    }
    if len([]rune(raw)) > 64 {
        return fmt.Errorf("name is too long")
    }
    // Bidi 校验通过后，还要继续执行字符白名单和保留字检查。
    if !bidirule.ValidString(raw) {
        return fmt.Errorf("name fails the bidirectional text rule")
    }
    return nil
}

这里的顺序很重要：ValidString 不是清洗函数，不会替你删除控制字符、替换混淆字符，也不会返回是哪一个字符触发失败。需要精确提示时，应在业务层保留自己的分类检查与测试样例。

四类边界样例怎么理解

注意，表格描述的是排查方向，不应把每一种语言都简化成同一套字面规则。双向类别来自 Unicode，包本身按规则做判断；项目只需把真实支持的语言和数字体系写成回归样例。

不要把通过结果当成完整安全结论

官方文档把 bidirule 标为开发中的包，API 可能在不保持向后兼容的情况下变化。生产项目应固定 golang.org/x/text 版本，升级时重新跑 RTL、LTR、数字混合和末尾组合标记样例。

此外，双向规则只处理显示方向相关的约束。你仍然需要决定是否做 Unicode NFC/NFKC 规范化、是否允许组合字符、是否限制脚本、是否拒绝不可见字符，以及标识符是否需要大小写折叠。这些决定取决于登录名、域名标签、文件名还是展示名称，不能由一个 bool 统一替代。

常见问题

ValidString 能判断字符串是不是合法 Go 标识符吗？

不能。它检查 RFC 5893 双向规则，不检查 Go 语法、关键字、字符白名单或项目命名约束。

纯英文字符串是否可以跳过检查？

RFC 规则也覆盖 LTR 标签。若输入会进入统一的多语言标识流程，保留同一入口更容易维护；是否跳过只能作为明确的性能决策。

返回 false 时怎样知道具体原因？

ValidString 只返回布尔值。需要用户可读原因时，在它前后增加脚本、数字体系、控制字符和首尾字符的业务分类检查。

如果目标是“让一个多语言名字能稳定进入系统”，可把这段流程记成四层：长度与空值、Bidi Rule、Unicode 规范化、业务白名单。ValidString 负责第二层，边界清楚，反而更适合放进可测试的输入管线。