JavaScript RegExp.escape 怎样安全拼接用户输入

动态创建正则时，只要字符串来自搜索框、域名或筛选条件，就应该先调用 RegExp.escape()，再把返回值嵌入 new RegExp()。这样外部内容会按字面量处理，点号、括号、连字符、换行等字符不会意外改变模式结构；真正需要正则语义的前缀、后缀和边界则由代码自己保留。

官方地址：https://developer.mozilla.org/en-US/docs/Web/JavaScript/Reference/Global_Objects/RegExp/escape

结论很简单：用户输入不是正则语法。先用 RegExp.escape() 保护它，再拼接固定的模式片段；不要用只覆盖少数字符的手写替换代替标准方法。

为什么手写拼接会把用户输入当成正则语法

现场通常是一个“域名替换”或“关键词过滤”函数：开发者把输入直接插入模板字符串，看到普通样例能工作，但输入含有 .、-、空格或反斜杠时，匹配范围突然扩大，甚至在 Unicode 模式下出现语法错误。这里的根因不是 RegExp 构造器随机变化，而是输入同时承担了业务数据和正则语法两种身份。

手写方案常见的思路是给几个元字符前面加反斜杠，但正则的上下文、Unicode 模式和标点转义规则并不只覆盖那几个字符。尤其是字符串放进更大的模式后，开头的字母或数字、连字符、空白和换行都有自己的边界处理。

根因修复：先转义，再组合固定模式

RegExp.escape(string) 返回一个适合放进 RegExp 构造器的字面量片段。它不仅处理常见的 ^ $ \ . * + ? ( ) [ ] { } | /，还会按更稳妥的方式处理部分标点、空格、控制字符、非 ASCII 空白和孤立代理项。传入的值不是字符串时会抛出 TypeError。

function removeDomain(text, domain) {
  // 外部域名只作为字面量，不能让点号获得通配符含义。
  const literalDomain = RegExp.escape(domain);
  // 协议和结尾前瞻是业务需要的固定正则语法。
  const pattern = new RegExp(`https?://${literalDomain}(?=/)`, "g");
  // 只替换匹配到的完整域名片段，保留其余正文。
  return text.replace(pattern, "");
}

这个组合方式的关键是划分责任：literalDomain 由标准 API 负责安全地表达外部字符串，https? 和 (?=/) 才是作者明确写出的正则语义。不要把用户输入再包进字符类或捕获组后期待它自动安全；拼接位置改变时，仍要重新审视固定语法本身。

兼容处理与容易遗漏的边界

RegExp.escape() 属于较新的 JavaScript 能力，旧浏览器或旧运行时可能没有它。需要兼容旧环境时，先做特性检测，再决定接入经过维护的 polyfill 或降低功能范围；不要在业务代码里临时写一个只替换 .*+? 的简化版本。

function buildLiteralPattern(value) {
  // 先拒绝非字符串，避免把隐式类型转换混入正则语义。
  if (typeof value !== "string") {
    throw new TypeError("过滤条件必须是字符串");
  }
  // 当前运行时没有标准 API 时，让兼容层明确接管。
  if (typeof RegExp.escape !== "function") {
    throw new Error("当前运行时不支持 RegExp.escape，请加载兼容层");
  }
  // 返回值只承担字面量角色，固定语法由调用方另外拼接。
  return RegExp.escape(value);
}

还要留意三个边界：空字符串会得到可嵌入的空模式，是否允许匹配全部内容应由业务规则决定；转义后的结果不是“可读性更好的原文”，例如开头字符可能变成 \x 形式，这是为了避免嵌入更大模式时发生歧义；标准方法只负责正则字面量安全，不替代长度限制、权限判断或业务输入校验。

常见问题

RegExp.escape 能替代所有正则转义吗？

它适合把一段字符串当作字面量嵌入动态正则，不会替你设计完整模式，也不会判断某个输入是否应该被允许。需要表达业务语法的部分仍应由固定代码明确写出。

为什么不用 replace 手写一个转义函数？

简单替换容易漏掉上下文相关的标点、空白、控制字符和开头字符边界。若目标环境支持标准 API，优先使用它；若必须兼容旧环境，应选经过维护和测试的兼容实现，并把版本策略写进项目依赖。

小结

这类问题的排查顺序是：先把用户输入与正则语法分开，再用 RegExp.escape() 生成字面量片段，最后只拼接确实需要的固定模式。这样既能减少误匹配，也能让后续兼容和输入边界更容易维护。