În majoritatea tutorialelor introductive, dezvoltatorii învață că ^ înseamnă începutul textului, iar $ înseamnă sfârșitul textului. În producție și securitate cibernetică, această simplificare este sursa a numeroase vulnerabilități critice de tip Input Validation Bypass și Newline Injection.
Vulnerabilitatea clasică a ancorelor ^ și $
// Presupunem că validați un nume de utilizator:
^[a-zA-Z0-9]+$
// Problema 1: Dacă în cod este activat flag-ul multiline (/m):
// Șirul "admin\n" va fi VALIDAT CU SUCCES!
// Deoarece ^ și $ se potrivesc la linia "admin", ignorând complet payload-ul malițios de pe linia 2!
// Problema 2: Comportamentul istoric al lui $ în PCRE și Python:
// Metacaracterul $ se potrivește și IMEDIAT ÎNAINTE de un caracter newline final (\n)!
// Șirul "utilizator123\n" va trece de validarea ^[a-z0-9]+$ !Soluția de Securitate: Ancorele Absolute \A și \z
Pentru a garanta că șablonul validează întregul text de la primul până la ultimul octet fizic, independent de flag-ul multiline și fără excepții pentru newline:
| Ancoră | Poziție Potrivită | Sensibil la Multiline (/m)? |
|---|---|---|
^ |
Începutul textului (sau începutul fiecărei linii în mod multiline). | Da |
\A |
Începutul absolut al întregului text (ignora flag-ul multiline). | Nu |
$ |
Sfârșitul textului (sau înainte de un ultim \n). |
Da |
\Z |
Sfârșitul textului sau imediat înainte de un \n terminal. |
Nu |
\z |
Sfârșitul absolut al întregului text (după ultimul octet, fără excepții!). | Nu |
Validarea securizată 100% a unui token API
# În Python sau PHP:
\A[a-zA-Z0-9_-]{32,64}\z
# Garantează că niciun caracter injectat pe linii secundare nu poate trece de validare!
Întrebări & Exemple de Cod:
Ancore Absolute de Text în RegEx (\A, \Z, \z vs ^, $)Ai o nelămurire despre utilizarea comenzii
Ancore Absolute de Text în RegEx (\A, \Z, \z vs ^, $)sau ai descoperit un truc / fragment de cod util? Distribuie-l cu ceilalți programatori!Fii primul care pune o întrebare sau distribuie un fragment de cod / prompt!
Nu au fost adăugate încă întrebări sau exemple de cod pentru această pagină. Dacă ai întâlnit o problemă sau ai un snippet util, adaugă-l mai jos pentru a-i ajuta pe ceilalți.