Go regexp.QuoteMeta 如何避免用户输入被当作正则语法

如果正则模式里有一段来自搜索框、URL 参数或配置文件，先调用 regexp.QuoteMeta。它会把这段文本中的正则元字符转义，让用户输入按字面匹配；程序自己写的前缀、锚点和捕获组仍然可以保留。直接把用户文本拼到模式里，.、+、?、括号等字符就可能扩大匹配范围。

把用户输入放进模式前先划清字面量边界

正则表达式本身有两类内容：一类是程序希望它执行的结构，例如 ^、$、分组括号和重复符号；另一类是用户真正想查找的文本。后者不能直接参与模式解析。比如用户输入 a+b，直接拼接时它代表“一个或多个 a 后跟 b”，而不是文本 a+b。

因此动态模式最好先画出边界：固定部分由代码负责，变化部分全部视为数据。QuoteMeta 的价值就是把数据重新编码成“可放入正则模式的字面量”。

regexp.QuoteMeta 的最小用法：只转义用户片段

下面的例子要求文本以用户给出的关键字开头，并允许后面跟一个冒号。锚点和分组是程序设计的结构，只有 keyword 需要转义。

package main

import (
    "fmt"
    "regexp"
)

func main() {
    keyword := `a+b (试用)`

    // 只把外部输入当作字面量，避免 +、括号改变正则含义。
    pattern := `^` + regexp.QuoteMeta(keyword) + `(?:：.*)?$`
    re, err := regexp.Compile(pattern)
    if err != nil {
        // 动态模式必须保留错误分支，不能用 MustCompile 把外部输入变成 panic。
        panic(fmt.Errorf("编译搜索模式失败: %w", err))
    }

    fmt.Println(re.MatchString(`a+b (试用)`))
    fmt.Println(re.MatchString(`a+b (试用)：Go 教程`))
    fmt.Println(re.MatchString(`aaab (试用)：Go 教程`))
}

第一、二个字符串中的加号和括号都是普通字符，第三个字符串不会因为把 + 当成量词而匹配成功。这里使用 Compile 而不是 MustCompile，是因为模式中包含运行时数据，错误应该回到调用方的输入校验或业务错误处理。

哪些内容不该交给 QuoteMeta

如果把完整模式都传给 QuoteMeta，锚点、分组和通配符也会失去作用。例如 regexp.QuoteMeta(`^ERROR: .+$`) 得到的是一条匹配这些符号本身的字面模式。它适合保护一段数据，不适合替代正则设计。

还要留意替换文本是另一套语法。QuoteMeta 只处理“如何匹配”，不处理 ReplaceAllString 中的 $1 或 ${name}。如果外部文本要作为替换内容，应根据替换 API 的模板规则选择字面量替换方法或单独处理美元符号，不能把两个问题混在一起。

用边界案例确认动态模式没有扩大范围

发布前至少覆盖以下输入：空字符串、.、\、[a]、带换行的文本和中文字符。空字符串尤其值得单独决定：它可能意味着“匹配空文本”，也可能应该被业务层拒绝，这不是 QuoteMeta 能替你判断的。

func literalPrefixMatch(prefix, input string) (bool, error) {
    // 固定锚点保留正则能力，外部 prefix 只作为字面量。
    pattern := `^` + regexp.QuoteMeta(prefix)
    re, err := regexp.Compile(pattern)
    if err != nil {
        // 返回编译错误，让上层记录输入问题或选择降级策略。
        return false, err
    }
    return re.MatchString(input), nil
}

检查清单可以压缩成三问：用户文本是否每次都经过 QuoteMeta；固定结构是否由代码明确拼接；编译失败是否被当作可处理错误。三问都能回答“是”，通常就不会把普通搜索词意外升级成正则语法。

常见问题

QuoteMeta 能防止所有正则相关问题吗？

不能。它只保护传入的那段文本；模式整体仍可能设计得过宽，空输入也可能带来意外匹配。

为什么不直接用 strings.Contains？

如果只需要普通子串查找，strings.Contains 更直接；只有确实需要锚点、分组或其他正则结构时，才组合 QuoteMeta。

QuoteMeta 之后还需要 Compile 吗？

需要。它返回的是字符串，不是已编译的 *regexp.Regexp；动态模式应调用 Compile 并处理错误。