正则表达式攻击矢量？

Question

在Ruby中如何“参数化”变量输入到正则表达式？例如，我做了以下内容：

q = params[:q] 
all_values.collect { | col | [col.name] if col.name =~ /(\W|^)#{q}/i }.compact 

由于它（＃{Q}）是来自不受信任的来源（查询字符串）的变量，我必须假设它可能是一个攻击向量。这里有什么最佳实践？

Answer 1

尝试Regexp.escape：

>> Regexp.escape('foo\bar\baz$+') 
=> "foo\\\\bar\\\\baz\\$\\+" 

所以，你的代码看起来是这样的：

q = params[:q] 
re = Regexp.escape(q) 
all_values.collect { | col | [col.name] if col.name =~ /(\W|^)#{re}/i }.compact 

Answer 2

那么，你想让用户能够提供一个任意的正则表达式，或只是一些文字文本，肯定可以引用？如果用户既可以提供正则表达式又可以提供匹配的文本，通过提供具有指数运行时的表达式来执行DoS攻击并不困难。