首页   注册   登录
V2EX = way to explore
V2EX 是一个关于分享和探索的地方
现在注册
已注册用户请  登录
billlee
V2EX  ›  编程

如何有效防止「正则表达式注入」?

  •  1
     
  •   billlee · 2016-11-04 23:48:45 +08:00 · 2472 次点击
    这是一个创建于 1171 天前的主题,其中的信息可能已经有所发展或是发生改变。

    我们知道,在应用中从外界接受输入拼接正则表达式,很容易被 DoS 攻击。即使不考虑 DoS 攻击的问题,如果输入含有特殊字符,也会造成正则表达式的语义出错。

    一般在根据外界输入进行搜索是,都是使用 startsWith, contains 这些不使用正则表达式,直接做字符串查找的方法。但是有些情况下是不得不使用正则的,例如,在 mongodb 里按字符串前缀检索数据,就必须用正则。

    在这样的情况下,有没有什么比较通用、可靠的方法来防止「正则表达式注入」?

    4 回复  |  直到 2016-11-05 01:52:22 +08:00
    oott123
        1
    oott123   2016-11-05 00:23:50 +08:00 via Android
    语义问题就转义呗
    转义了的话,好好写正则应该不会被 DoS 了吧?
    langmoe
        2
    langmoe   2016-11-05 00:57:08 +08:00   ♥ 1
    @oott123 我估计楼主想说的不是注入,是类似这种的攻击
    http://www.zhouhua.info/2015/06/02/trap/
    binux
        3
    binux   2016-11-05 01:14:51 +08:00
    正则也有转义的啊
    terence4444
        4
    terence4444   2016-11-05 01:52:22 +08:00 via iPad
    /E /Q 可以转义吧
    关于   ·   FAQ   ·   API   ·   我们的愿景   ·   广告投放   ·   感谢   ·   实用小工具   ·   2007 人在线   最高记录 5168   ·     Select Language
    创意工作者们的社区
    World is powered by solitude
    VERSION: 3.9.8.3 · 30ms · UTC 16:13 · PVG 00:13 · LAX 08:13 · JFK 11:13
    ♥ Do have faith in what you're doing.