Python 正则输入规模与超时防护的边界

Python 正则防护不能只加一个“超时等待”。先限制输入规模、简化开发者维护的模式；需要单次匹配预算时，可使用第三方 regex 的 timeout 参数。标准库 re.fullmatch 没有这个参数，而“没有匹配”和“操作超时”必须分别处理。

本文只讨论固定模式与外部字符串，不接收用户提交的任意正则，也不提供高负载攻击样例。输入长度和超时数字都是示例业务预算，不是通用安全阈值。

官方入口：https://docs.python.org/3/library/re.html。第三方 regex 项目维护者发布页：https://pypi.org/project/regex/。

为什么输入限制要放在匹配之前

正则匹配耗时取决于模式和输入，不能只看字符串“平均多长”。业务若只接收短标签，就不应把整段文档交给匹配器。先检查类型和长度，过长直接拒绝，不截断后继续验证；截断会让原本非法的输入前缀被误认为有效。

输入规模还分层次：网络层可限制字节数，Python str 的 len 计算字符串长度，不等于 UTF-8 字节数或屏幕字符数量。本文例子仅使用 ASCII 字符类，预算应与接口字段约定一起制定。

如何把模式写得更容易控制

能用明确字符类和长度范围表达的字段，就避免用多层重复或大量含义重叠的分支。只检查整个字段时选择 fullmatch，避免把“某处出现一个片段”当成整段合法。预编译固定模式有利于复用，但它不等于运行耗时已经受限。

import re

# 示例规则：首字符为ASCII字母，后续允许字母、数字、下划线或短横线。
LABEL = re.compile(r"[A-Za-z][A-Za-z0-9_-]{0,63}")
MAX_CHARS = 64


def valid_label(value: str) -> bool:
    # 类型与规模限制先于匹配；不把任意对象转字符串后放行。
    if not isinstance(value, str):
        return False
    if len(value) > MAX_CHARS:
        return False
    return LABEL.fullmatch(value) is not None

这是短标签配方，不是所有正则的复杂度证明。它不接受空字符串，也不接受中文标签；如果业务需要中文，应重新定义字符范围与测试样本，不直接把范围改宽后仍沿用全部结论。

非贪婪量词不等于没有回溯。原子组或占有量词可以改变回溯行为，但也可能改变匹配结果，不能给所有重复项机械追加符号。先用正常与不合法样本确认业务语言，再选择优化。

第三方 regex 的 timeout 应放在哪里

regex 的匹配方法支持 timeout，以秒为单位，作用于整个相关操作。下面示例在调用 fullmatch 时明确给预算，并返回独立的超时状态。依赖应先按项目流程安装并锁定版本；不能把 import regex 当作标准库可用性保证。

import regex

# 模式由开发者固定维护，编译阶段不在下面的匹配timeout预算内。
LABEL = regex.compile(r"[A-Za-z][A-Za-z0-9_-]{0,63}")
MAX_CHARS = 64
MATCH_SECONDS = 0.02  # 示例单次预算，须按实际环境确定。


def classify_label(value: str) -> str:
    # 区分输入拒绝、不匹配和超时，便于上层选择错误策略。
    if not isinstance(value, str):
        return "invalid_type"
    if len(value) > MAX_CHARS:
        return "too_long"
    try:
        match = LABEL.fullmatch(value, timeout=MATCH_SECONDS)
    except TimeoutError:
        # 超时不是“不匹配”，更不能超时后改用无预算匹配再次尝试。
        return "timeout"
    return "matched" if match is not None else "not_matched"

20毫秒只是讲解参数单位的示例，不保证精确在这一时刻返回，也不表示所有机器都适合这个值。该简单模式通常不需要靠触发超时来证明正确，超时分支可以在应用测试中通过受控替身覆盖，不必构造高负载输入。

超时为什么不能当成请求总预算

单次匹配调用的 timeout 不自动覆盖请求解析、模式编译、排队、其他业务调用或一批多个字段的累计耗时。批量处理还要限制字段数量与总工作量，不能把每项预算简单看成整批预算。

外层计时器如果只让调用方停止等待，也不能据此认定底层计算已经停止。不要通过线程等待超时就宣称正则已被强制中断。需要更强资源隔离的服务应另外设计隔离与取消机制，本文不实现通用执行沙箱。

对输入验证类接口，超时应拒绝本次处理，并记录脱敏的规则标识、长度和超时状态；不要返回 matched，不要自动降级到不带 timeout 的 re，也不要记录完整敏感文本。

应该怎样确认业务规则没有被优化改坏

以上是预期矩阵，不是本文运行结果。本文未执行匹配压测，也未给出吞吐或耗时数据。部署前应按自己的解释器、依赖版本、输入分布与机器负载验证预算。

常见疑问

标准库 re 能直接加 timeout 吗？不能照搬 regex 的参数；先检查实际导入模块与方法签名。

限制长度后还需要注意模式吗？需要。长度上限控制规模，不替代模式设计，也不覆盖许多字段同时处理的总成本。

换成第三方引擎就完全兼容吗？不能这样假定。导入、模式语义、Unicode行为和异常处理都应纳入迁移用例，本文仅展示受控ASCII标签。

参考：Python re 官方文档；regex 项目维护者文档的 Timeout 小节。预算选择与状态封装为本文原创示例。