正则表达式

是什么，为什么存在

正则表达式是一种文本模式。它可以回答“是否存在这种形状”“匹配从哪里开始”“哪些子串属于各个字段”，也可以把匹配结果交给替换函数。JavaScript 的 RegExp 对象保存模式、标志和匹配状态，String 方法决定怎样消费结果。

正则表达式适合局部、边界清楚的文本任务，例如从日志行提取字段、查找多个关键词、规范化固定格式，或把输入限制在一组字符中。它把字符选择、重复、分支和位置约束放进一个紧凑表达式，因此比一长串索引判断更容易与文本格式对应。

紧凑不等于适合所有解析任务。URL、HTML、JSON 和编程语言都有专用解析器与错误模型；用一个模式重建这些语法，往往会漏掉转义、嵌套或规范化规则。正则表达式应负责明确的局部契约，结构化格式则交给拥有完整语法知识的 API。

你会在字面量 /pattern/flags、new RegExp(source, flags)、表单校验、路由、编辑器搜索以及日志处理代码里遇到它。模式固定时使用字面量最清楚；模式包含运行时文本时才需要构造函数，并且要区分“这段文本就是正则语法”与“这段文本只应按字面匹配”。

JavaScript 正则表达式按 UTF-16 字符串工作。u 或 v 模式能让许多操作按 Unicode 码点解释，但这仍不等于按用户看到的字素簇、单词或语言规则处理文本。国际化需求必须先说明单位，再选择属性转义、Intl.Segmenter 或专用解析器。

工作原理

模式、标志与创建方式

正则字面量直接把模式写进源码，例如 /invoice-(\d+)/i。RegExp 构造函数接收字符串，适合插入运行时片段；普通字符串会先处理一次反斜杠，所以字面量 /\d+/ 对应 new RegExp("\\d+")。String.raw 可以减少静态片段的双重转义，但不会自动保护插入值。

Node 24 支持下列八个标志。标志属于表达式对象，不能在一次执行中临时添加；需要另一组标志时，应创建另一个 RegExp。

u 与 v 不能同时使用。新代码若需要集合交集、集合差集或 Unicode 字符串属性，可以选择 v；只需要码点语义和字符属性时，u 仍然直接且常见。目标运行时不只由 Node 版本决定时，还应核对浏览器兼容范围。

构成模式的单元

模式把消费字符的单元和只检查位置的断言组合起来。下面的表描述常见构件，而不是一份可直接拼接的配方。

\d 只表示 ASCII 数字 0 到 9，\w 也以 ASCII 字母、数字和下划线为核心。需要跨语言字母或十进制数字时，应在 u 或 v 模式中明确使用 \p{Letter}、\p{Decimal_Number} 等 Unicode 属性，而不是假定简写字符类会随区域设置改变。

量词默认贪婪，会优先尝试更多重复；在量词后加 ? 会改成优先尝试更少重复。两者在后续部分失败时都可能回溯，因此“惰性”不等于“没有回溯”或“必然更快”。选择哪一种取决于你要取得哪个边界。

左端优先的匹配

没有 y 时，引擎寻找最左侧能够开始成功匹配的位置。在同一个开始位置，分支顺序、贪婪程度和后续约束决定最终路径；后面的单元失败时，引擎可能回到较早的选择点尝试另一条路径。这是有序、左端优先的选择，不是从全部结果中挑最长字符串。

捕获只记录成功路径上的内容。可选分支没有参与时，对应的捕获值是 undefined；重复捕获组通常只保留最后一次迭代捕获的文本。若只需要控制优先级，应使用 (?:...)，避免给结果增加容易错位的编号。

锚点与环视不消费字符，所以它们可以约束完整输入或上下文。^...$ 常用于格式校验；开启 m 后，这两个锚点改为允许行边界，便不再表示整段输入。环视适合做局部上下文限制，但层层嵌套的环视会迅速降低可读性。

方法决定结果形状

同一个模式通过不同方法执行时，返回值和状态行为不同。选方法时先决定你需要布尔值、一个详细结果、全部详细结果，还是替换后的字符串。

exec() 的数组第 0 项是完整匹配，后面是编号捕获；groups 保存命名捕获，index 保存开始位置。使用 d 后，indices 按同一槽位结构给出 [start, end]，这些字符串索引以 UTF-16 代码单元计数。

g 会从 lastIndex 开始向后搜索，y 则要求匹配恰好从该位置开始。二者成功后把 lastIndex 更新到匹配结尾，失败时把它重置为 0。普通表达式的 exec() 不把 lastIndex 当作起点。

示例

下面四个示例依次展示结构化提取、动态字面量、连续扫描和 Unicode 单位。所有输出都来自 Node 24.14.0 实际执行对应文件。

提取命名字段和索引

日志模式使用 m 逐行应用锚点，使用 g 取得全部结果，再使用 d 读取消息字段的绝对范围。命名捕获让调用代码不依赖捕获顺序。

matchAll() 保留了每次匹配的捕获详情，并在内部副本上推进状态，所以 linePattern.lastIndex 不会被这次迭代留下变化。消息中出现非 BMP 字符时，messageSpan 仍然是 UTF-16 索引，不能直接当作用户感知字符数。

这个模式只验证日志行的形状，不验证时间是否真实存在。若小时与分钟有业务范围，应在捕获后把字段转成数字再做语义检查；继续把日历规则塞进模式只会让契约更难读。

安全插入动态字面量

关键词来自数据，而不是正则语法。RegExp.escape() 把每个词变成可以安全嵌入更大模式的源文本，再用分支连接它们。

const keywords = ['C++', 'node.js', '[draft]'];
const escaped = keywords.map(RegExp.escape);
const keywordPattern = new RegExp(escaped.join('|'), 'gi');
const title = 'Move [draft] C++ addon to Node.js; keep C+ notes.';

console.log(escaped);
console.log(title.match(keywordPattern));

[ '\\x43\\+\\+', '\\x6eode\\.js', '\\[draft\\]' ]
[ '[draft]', 'C++', 'Node.js' ]

输出中的首字母十六进制转义是有意设计的。它防止转义结果紧跟在 \1、\x0 等片段后时，被误解为前一个转义的一部分；手写“给几个元字符加反斜杠”的函数通常不会覆盖这种拼接上下文。

RegExp.escape() 只保证文本按字面解释，不负责授权、长度限制或匹配范围。关键词数组为空时，escaped.join('|') 会产生空模式并在每个位置匹配，因此调用方还需要为“没有关键词”定义独立行为。

用粘性匹配连续扫描

词法扫描要求每个新记号紧接上一个记号，不能悄悄跳过未知字符。y 标志把 lastIndex 变成必须满足的起点，因此很适合这种连续消费契约。

const tokenPattern =
  /(?<space>\s+)|(?<number>\d+(?:\.\d+)?)|(?<operator>[()+\-*/])/y;

function tokenize(expression) {
  tokenPattern.lastIndex = 0;
  const tokens = [];

  while (tokenPattern.lastIndex < expression.length) {
    const position = tokenPattern.lastIndex;
    const match = tokenPattern.exec(expression);
    if (!match) throw new SyntaxError(`Unexpected token at ${position}`);
    if (match.groups.space) continue;

    const type = match.groups.number === undefined ? 'operator' : 'number';
    tokens.push(`${type}:${match[0]}@${position}`);
  }

  return tokens;
}

console.log(tokenize('12 + 3.5*(7-2)').join('\n'));
try {
  tokenize('2 + @');
} catch (error) {
  console.log(error.message);
}

number:12@0
operator:+@3
number:3.5@5
operator:*@8
operator:(@9
number:7@10
operator:-@11
number:2@12
operator:)@13
Unexpected token at 4

代码在每次 exec() 前保存 position，因为失败会把粘性表达式的 lastIndex 重置为 0。若这里误用 g，引擎会越过 @ 继续寻找下一个可匹配记号，扫描器便可能接受本应拒绝的间隙。

这个函数只做词法切分，不计算表达式。括号配对、运算符位置、优先级和除零属于后续解析或求值阶段；把“能分成合法记号”误当作“整个表达式合法”是另一层契约错误。

区分代码单元、码点与字素簇

Unicode 属性可以描述跨文字系统的字母与组合标记。与此同时，\w 仍然不代表自然语言中的所有单词字符，而 Unicode 感知的点号也只前进一个码点。

const label = 'naïve 中文 cafe\u0301 👩‍💻';
const unicodeWords = label.match(/[\p{Letter}\p{Mark}]+/gu);
const asciiWords = label.match(/\w+/g);
const codePoints = '👩‍💻'.match(/./gu);
const graphemes = [
  ...new Intl.Segmenter('en', { granularity: 'grapheme' }).segment('👩‍💻'),
].map(({ segment }) => segment);

console.log(unicodeWords);
console.log(asciiWords);
console.log(codePoints);
console.log(graphemes);

[ 'naïve', '中文', 'café' ]
[ 'na', 've', 'cafe' ]
[ '👩', '‍', '💻' ]
[ '👩‍💻' ]

[\p{Letter}\p{Mark}]+ 把字母和组合标记放在一个字符类中，所以能保留分解形式的 e 加重音符号。真实单词切分还涉及语言、标点与书写系统；需要用户可见文本边界时，应使用合适区域设置的 Intl.Segmenter。

/./gu 把代理对组成的 emoji 码点作为一个单位，却仍把零宽连接符序列拆成三个码点。最后一行按字素簇切分，才把整个职业 emoji 当作一个用户感知字符。

陷阱

复用带状态的表达式

修复方法： 无需逐次状态时去掉 g 或在函数内创建表达式。确实需要扫描时，由一个所有者控制循环，在入口明确设置 lastIndex；异步操作之间不要共享可变的匹配器。

把动态文本当成模式语法

修复方法： 只在输入明确被允许描述正则语法时直接编译。字面搜索使用 Node 24 的 RegExp.escape(query)，并分别处理空字符串、最大长度、标志和外层边界。

用形状检查代替语义验证

修复方法： 让正则只筛选明确的词法形状，再通过领域 API 或数值规则校验捕获值。URL 使用 URL，JSON 使用 JSON.parse()，HTML 使用解析器；错误信息应对应实际失败层次。

假定 \w、\b 和点号理解人类文本

修复方法： 指明目标单位是 UTF-16 代码单元、Unicode 码点、字素簇还是语言单词。字符属性使用 \p{...} 配合 u 或 v；字素簇与单词边界使用 Intl.Segmenter 或领域库。

忘记替换字符串也有语法

修复方法： 需要捕获插值时明确使用替换记号；需要原样返回动态文本时传入函数，例如 text.replace(pattern, () => replacement)。测试包含 $&、$1 和连续美元符号的输入。

用惰性量词掩盖回溯风险

修复方法： 消除同一文本可被多种方式切分的重复结构，用互斥字符类和明确分隔符缩小选择，并限制不可信输入长度。用长的近似匹配失败样本做测试；无法清楚约束时改用线性扫描器或专用解析器。

延伸阅读

• ECMAScript 2026：RegExp 对象
• MDN JavaScript 指南：正则表达式
• MDN：RegExp.escape()
• MDN：unicodeSets 属性
• OWASP：正则表达式拒绝服务