防止危險正則表達式中止應用

Question

正則表達式爲dangerous,very dangerous。正則表達式操作由主線程處理，主線程正在偵聽事件循環。是否有可能確保一個危險的正則表達式不會中止我的應用程序？我是否應該將正則表達式操作傳遞給我自己的thread pool？這是否有規範？當然，測試，監測等工作將會完成，但有沒有一種防止這種災難的通用方法？

Answer 1

您可以使用Node.js的核心虛擬機模塊的技巧。 （在v0.12.x，v4.x和v5.x分支中提供）在Mitigating Catastrophic Backtracking in Node.js Regular Expressions中描述。這個想法是設置一個超時到一個正則表達式匹配操作，並終止匹配，一旦達到指定的時間段。

以下是文章的一個片段，你可以利用：

const util = require('util'); 
const vm = require('vm'); 
var sandbox = { 
    result: null 
}; 
var context = vm.createContext(sandbox);  
console.log('Sandbox initialized: ' + vm.isContext(sandbox)); 
var script = new vm.Script('result = /^(A+)*B/.test(\'AAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAC\');'); 
try{ 
    // One could argue if a RegExp hasn't processed in a given time. 
    // then, its likely it will take exponential time. 
    script.runInContext(context, { timeout: '1000' }); // milliseconds 
} 
catch(e){ 
    console.log('ReDos occurred'); // Take some remedial action here... 
} 
console.log(util.inspect(sandbox)); // Check the results