Go regexp.QuoteMeta 怎样把普通文本安全放进正则表达式

如果正则表达式的一部分来自用户输入、配置文件或外部接口，最稳妥的做法是先调用 regexp.QuoteMeta，再把返回值拼到由程序控制的正则片段中。它会转义文本里的正则元字符，让这段输入按普通文字匹配；固定前缀、边界和分组仍然由代码自己定义。

官方文档：https://pkg.go.dev/regexp#QuoteMeta

直接拼接为什么会让用户输入改变匹配规则

假设搜索框里输入 a+b，业务想找的是连续出现的三个字符 a+b。如果直接把它拼到 ^ 和 $ 之间，+ 会被正则引擎解释为“前一个元素重复一次或多次”，最终含义就不再是字面文本。.、*、?、括号和方括号也有类似问题。

所以这里要分开两种来源：程序写死的模式可以保留正则语义，外部传入的词只负责提供一段字面内容。把两者混在一起处理，既容易误匹配，也会让排查变得困难。

用 regexp.QuoteMeta 得到可按字面匹配的片段

官方 API 的职责很单一：返回一个会转义参数中正则元字符的字符串，返回结果可以作为正则表达式的一部分，用来匹配原始文本。下面的例子把它编译成“完整相等”的表达式：

package main

import (
    "fmt"
    "regexp"
)

func matchLiteral(input string) (bool, error) {
    // 先把外部文本转成正则字面片段，避免 +、[ 等字符改变规则。
    literal := regexp.QuoteMeta(input)
    // ^ 和 $ 是程序控制的边界，要求整个字符串都匹配。
    re, err := regexp.Compile("^" + literal + "$")
    if err != nil {
        // 保留编译错误，让调用方决定如何提示或记录。
        return false, err
    }
    return re.MatchString(input), nil
}

func main() {
    matched, err := matchLiteral("a+b[1]")
    fmt.Println(matched, err)
}

这里动态文本只经过一次 QuoteMeta，而 ^、$ 仍然是代码明确加入的边界。即使输入包含 + 或 [1]，它们也会被当作普通字符参与匹配。

组合固定规则时，只转义动态部分

更常见的场景不是全量相等，而是“固定前缀后面包含一个用户关键词”。此时固定前缀可以继续承担正则能力，关键词则必须先转义。不要对整个表达式调用 QuoteMeta，否则连程序故意写入的边界也会被当作普通文字。

func compileKeyword(keyword string) (*regexp.Regexp, error) {
    // 固定部分由程序维护，保留开头边界和业务前缀语义。
    const prefix = `^task:`
    // 只转义用户关键词，避免关键词中的元字符扩大匹配范围。
    pattern := prefix + regexp.QuoteMeta(keyword) + `$`
    // 外部输入仍可能让组合结果不符合预期，统一返回编译错误。
    return regexp.Compile(pattern)
}

例如关键词是 build.*，最终只会匹配包含这几个字面字符的任务标识，不会把 .* 扩展成任意长度文本。若业务还需要可选分组、字符范围或重复规则，应把它们作为独立的固定片段写在代码中，而不是让用户输入承担这些职责。

QuoteMeta 不负责替换字符串，也不会创建捕获组

regexp.QuoteMeta 解决的是“模式里的这段文字按字面匹配”问题。它不是替换模板的转义器，也不会把文本变成捕获组。使用 ReplaceAllString、ExpandString 时，模板里的 $1、${name} 有自己的语义；如果替换内容本身要按原文写入，应根据替换 API 的规则选择字面替换方法，而不是把替换文本送进 QuoteMeta。

同样，QuoteMeta 不会替你判断输入是否为空、是否应该忽略大小写或是否要添加单词边界。它只完成元字符转义，匹配策略仍需要在固定模式层面明确。

发布前可以按这张清单检查组合方式

• 动态值是否只在进入模式前调用了一次 QuoteMeta？
• 固定的分组、锚点和字符范围是否仍由代码明确控制？
• 组合后的模式是否通过 Compile 返回错误，而不是对外部内容直接 MustCompile？
• 是否误把模式转义和替换模板转义当成同一个问题？

常见问题

QuoteMeta 会不会把普通字母也改掉？

它的目的不是改变普通文本，而是转义正则元字符。没有特殊含义的字符通常仍按原样出现在返回字符串中。

能不能先拼接用户输入，再对完整模式调用 QuoteMeta？

通常不能。这样会连程序需要的锚点、分组和固定规则一起转成字面字符；应只处理外部动态片段。

QuoteMeta 能防止所有正则相关问题吗？

不能。它只解决动态文本改变模式语义的问题。大小写、边界、空输入、匹配范围和替换模板仍需要业务代码单独定义。