Go regexp.QuoteMeta 怎么保护用户输入：正则字面量、拼接边界与匹配验证

搜索框支持“包含某段文字”时，最容易被忽略的风险是把用户输入直接拼进正则表达式。用户输入 a+b，程序却按“一个或多个 a 后面跟 b”去解释；输入左括号，还可能让整个表达式编译失败。Go 的 regexp.QuoteMeta 适合处理这个边界：它把正则元字符转成字面量，随后再由 regexp.Compile 编译。

只要用户输入的含义是“按原字符查找”，先用 regexp.QuoteMeta 转义，再拼接固定表达式；如果输入本来就是正则规则，就不要把两种语义混在同一个参数里。

为什么直接拼接会改变搜索含义

假设接口要在日志行中查找用户输入的关键词。下面这段代码看上去简洁，却把输入交给了正则语法：

pattern := "(?i)" + keyword
re, err := regexp.Compile(pattern)
if err != nil {
    return err
}

输入 go+ 时，+ 不再是普通字符；输入 [warn]，方括号会变成字符类。更麻烦的是，错误不一定发生在输入阶段，而是在编译动态表达式时才暴露。这里先别急着给每种符号写替换表，正则标准库已经提供了专门的字面量转换。

QuoteMeta 如何把动态片段留在字面量边界内

把固定规则和动态片段分开：固定的 (?i) 表示忽略大小写，regexp.QuoteMeta(keyword) 只负责用户提供的那一小段。图中的调用链对应本节代码，重点是“先转义，再编译”，而不是把整条表达式交给用户。

package main

import (
    "fmt"
    "regexp"
)

func buildKeywordMatcher(keyword string) (*regexp.Regexp, error) {
    escaped := regexp.QuoteMeta(keyword)
    pattern := "(?i)" + escaped
    return regexp.Compile(pattern)
}

func main() {
    re, err := buildKeywordMatcher("a+b")
    if err != nil {
        panic(err)
    }
    fmt.Println(re.MatchString("cost=a+b"))
    fmt.Println(re.MatchString("cost=aaab"))
}

运行结果是 true 和 false：第一个字符串包含字面量 a+b，第二个字符串虽然符合“a 重复后接 b”的正则形状，却不是本次搜索要找的文本。

固定表达式和用户片段应该怎样拼接

真实项目通常不是整条表达式都动态生成。例如日志筛选需要固定的前缀，再匹配用户输入；对 a+b 做字面量搜索时，aaab 不应因为正则中的加号规则而被误判命中：

func matchLine(keyword, line string) (bool, error) {
    if keyword == "" {
        return false, nil
    }

    pattern := "^level=(info|warn|error) .*" + regexp.QuoteMeta(keyword) + ".*$"
    re, err := regexp.Compile(pattern)
    if err != nil {
        return false, err
    }
    return re.MatchString(line), nil
}

这里的固定部分约束日志行以 level= 开始，动态片段仍然只按字面量解释。keyword == "" 的判断也应该保留：空字符串在 Go 正则中可以匹配很多位置，若业务含义是“没有关键词就不筛选”，就要在编译前明确返回。

三个容易误判的边界

QuoteMeta 不会替你决定大小写规则

QuoteMeta 只处理元字符。是否忽略大小写要由固定表达式中的 (?i) 或业务预处理决定；如果搜索必须区分大小写，就不要无条件加上 (?i)。

QuoteMeta 不等于完整输入校验

转义后，输入仍可能很长。接口层还应限制长度，避免一次编译和匹配消耗过多资源。对于只需要子串查找的场景，也可以先评估 strings.Contains，不必为了使用正则而使用正则。

Compile 的错误检查不要删

即使动态片段经过 QuoteMeta，固定表达式仍可能被改坏。把 regexp.Compile 的错误返回给调用方，测试中覆盖括号、方括号、加号和反斜杠等输入，能把问题留在边界处。

相关问题

用户输入本来就是正则表达式，还要调用 QuoteMeta 吗？

不要直接调用。先把接口语义拆成“字面量搜索”和“高级正则搜索”两个入口，后者需要单独的长度、超时和错误处理策略。

只查找固定字符串，是否应该用 regexp？

如果没有大小写、边界或组合规则，strings.Contains 通常更直接。正则适合确实需要模式语义的地方。

为什么转义后仍要测试空字符串？

因为空字符串转义后仍是空字符串，它会匹配字符串中的位置。是否把空输入视为“不过滤”或“拒绝查询”，必须由接口契约决定。

把规则写进接口契约

这类代码真正要固定的是输入语义：关键词搜索走 QuoteMeta，正则搜索走单独字段；空值、大小写、最大长度和编译错误都在接口层说清楚。这样后续换成缓存编译结果或增加日志字段时，匹配行为不会因为一次字符串拼接改动而悄悄变化。