تست Regex آنلاین (طعم JavaScript)

بیشترین استفادهٔ Regex در اعتبارسنجی فرم‌هاست: بررسی اینکه ایمیل، کد پستی، شمارهٔ موبایل یا نام کاربری قالب درستی دارد. کاربرد بزرگ دوم جست‌وجو و استخراج است؛ مثلاً بیرون کشیدن همهٔ آدرس‌های IP از یک فایل لاگ یا پیدا کردن همهٔ شناسه‌های سفارش در یک گزارش. در ویرایشگرهای کد هم جایگزینی گروهی با Regex کارهایی را که دستی یک ساعت طول می‌کشد در چند ثانیه انجام می‌دهد.

روی سرور هم Regex همه‌جا هست: در دستور grep برای فیلتر لاگ، در قوانین location وب‌سرور Nginx، در قواعد بازنویسی آدرس و در ابزارهایی که لاگ را برای الگوهای حمله بررسی می‌کنند. اگر روی سرور ابری خودتان Nginx نصب کرده‌اید، تست الگوی location پیش از بارگذاری دوبارهٔ پیکربندی از خطای ۴۰۴ ناخواسته جلوگیری می‌کند.

ابزار چهار بخش دارد. اول، دکمه‌های «الگوهای آماده» که با یک کلیک الگو، فلگ‌ها و متن نمونه را برای حالت‌های رایج پر می‌کنند: ایمیل، URL‏، IPv4، موبایل ایران، کلمهٔ فارسی، خطای ۵xx در لاگ، تاریخ ISO‏، UUID، رنگ Hex و JWT. دوم، کادر الگو همراه با پنج فلگ g‏، i‏، m‏، s و u. سوم، کادر متن آزمایشی. و چهارم، بخش نتیجه که متن را با مطابقت‌های رنگی نشان می‌دهد، تعداد مطابقت‌ها را می‌شمارد و الگو را به شکل لیترال جاوااسکریپت مثل /الگو/فلگ‌ها برای کپی آماده می‌کند.

زیر نتیجه، فهرست مطابقت‌ها با شمارهٔ ردیف، موقعیت شروع (اندیس از صفر، به همان شیوهٔ شمارش خود JavaScript) و مقدار مطابقت آمده است. این فهرست ۲۰۰ مورد اول را نشان می‌دهد، هزار مطابقت اول در متن رنگی می‌شوند و شمارنده تا ده هزار مطابقت را می‌شمارد تا صفحه سنگین نشود. فلگ g دقیقاً مثل کد رفتار می‌کند: با g همهٔ مطابقت‌ها پیدا می‌شوند و بدون آن فقط اولین مطابقت، همان چیزی که exec یا match بدون g در برنامهٔ شما برمی‌گرداند.

زیر هر مطابقت، گروه‌های گرفته‌شده (capture groups) با شماره‌های $1، $2 و بعدی و گروه‌های نام‌دار مثل (?<year>…) با نام خودشان نمایش داده می‌شوند؛ گروهی که در آن مطابقت شرکت نکرده باشد «بدون مطابقت» نوشته می‌شود. آنچه ابزار ندارد قابلیت جایگزینی (replace) است؛ برای دیدن اثر جایگزینی گروهی، متن قبل و بعد را در مقایسهٔ متن کنار هم بگذارید.

فلگ‌ها رفتار موتور را تغییر می‌دهند بی‌آنکه الگو عوض شود. انتخاب اشتباه فلگ یکی از رایج‌ترین دلیل‌های «در ابزار کار می‌کرد ولی در کد نه» است، پس ارزش دارد هرکدام را دقیق بشناسید. جدول زیر خلاصهٔ رفتار هر فلگ در JavaScript است.

بزرگ‌ترین دام این است که \w در JavaScript فقط حروف و ارقام لاتین و زیرخط را می‌شناسد و حروف فارسی را حرف حساب نمی‌کند، حتی با فلگ u. پس الگوی \w+ کلمهٔ «سلام» را پیدا نمی‌کند. راه درست استفاده از کلاس‌های یونیکد با فلگ u است: \p{L} برای هر حرفی در هر زبان، یا \p{Script=Arabic} برای حروفی که در خط عربی و فارسی به کار می‌روند.

دام دوم ارقام است. \d فقط ۰ تا ۹ لاتین را می‌شناسد. اگر کاربر شماره را با صفحه‌کلید فارسی تایپ کند، ارقام فارسی (U+06F0 تا U+06F9) یا گاهی ارقام عربی (U+0660 تا U+0669) وارد می‌شوند. الگوی امن برای رقم در فرم‌های ایرانی چیزی مثل ⁦[0-9۰-۹٠-٩]⁩ است، یا بهتر اینکه ورودی را پیش از اعتبارسنجی به ارقام لاتین تبدیل کنید.

دام سوم حروف هم‌شکل است: «ی» و «ک» فارسی با «ي» و «ك» عربی کد متفاوتی دارند و ظاهرشان یکی است. جست‌وجوی «کیف» در متنی که با صفحه‌کلید عربی تایپ شده نتیجه نمی‌دهد. نیم‌فاصله (U+200C) هم بخشی از کلمه است؛ اگر الگوی شما کلمه را با \s یا فاصله جدا می‌کند، «می‌شود» را یک کلمه حساب کنید نه دو کلمه.

Regex یک استاندارد واحد ندارد و هر زبان «طعم» خودش را دارد. این ابزار از موتور JavaScript مرورگر استفاده می‌کند؛ پس نتیجه دقیقاً همان چیزی است که در کد فرانت‌اند یا Node.js می‌گیرید. هستهٔ مشترک (کلاس کاراکتر، کمیت‌نماها، گروه‌ها، lookahead) تقریباً در همه یکسان است، ولی در جزئیات تفاوت‌هایی هست که اگر ندانید، الگوی تست‌شده در زبان دیگر رفتار متفاوتی نشان می‌دهد.

بهترین روش نوشتن Regex ساختن تدریجی است، نه نوشتن یک‌بارهٔ الگوی طولانی. با ساده‌ترین الگویی شروع کنید که نمونهٔ درست را پیدا کند، بعد قدم‌به‌قدم سخت‌گیرتر شوید و بعد از هر تغییر نتیجه را در ابزار ببینید.

متن نمونه را طوری انتخاب کنید که هم موارد درست و هم موارد نادرست را داشته باشد. اگر فقط نمونه‌های درست را بگذارید، نمی‌فهمید الگو بیش از حد گشاد است. نمونه‌های آمادهٔ ابزار هم به همین شکل ساخته شده‌اند؛ مثلاً نمونهٔ IPv4 عمداً عدد ۹۹۹.۹۹۹.۹۹۹.۹۹۹ را دارد تا نشان دهد الگوی دقیق که هر بخش را به ۰ تا ۲۵۵ محدود می‌کند آن را رد می‌کند، در حالی که الگوی سادهٔ \d{1,3} آن را هم می‌پذیرفت.

صفحهٔ تست Regex یک صفحهٔ ثابت است و سرور فقط HTML آن را تحویل می‌دهد. اجرای الگو با شیء RegExp خود مرورگر و روی دستگاه شما انجام می‌شود و کد ابزار هیچ درخواستی برای ارسال الگو یا متن نمونه به سرور نمی‌فرستد. پس می‌توانید بخشی از لاگ یا دادهٔ آزمایشی را بدون نگرانی از ذخیره شدن روی سرور ما تست کنید.

با این حال عادت خوب این است که داده‌های واقعاً حساس، مثل رمز عبور، کلید API یا اطلاعات شخصی مشتری، را در هیچ ابزار آنلاینی نچسبانید و به‌جایش نمونهٔ ساختگی با همان قالب بسازید. یک نکتهٔ امنیتی دیگر به خود الگو مربوط است: الگوهایی با کمیت‌نمای تودرتو مثل (a+)+$ روی ورودی خاص دچار «عقب‌گرد فاجعه‌بار» می‌شوند و پردازنده را مشغول نگه می‌دارند. این ابزار تطبیق را جدا از صفحه اجرا می‌کند و اگر بیش از ۲ ثانیه طول بکشد آن را متوقف می‌کند و پیام می‌دهد، ولی همین الگو روی سرور می‌تواند به حملهٔ ReDoS تبدیل شود.

ابزار برای تست سریع طراحی شده و چند محدودیت روشن دارد. فقط طعم JavaScript را اجرا می‌کند و تفاوت‌های PCRE یا RE2 را شبیه‌سازی نمی‌کند. جایگزینی (replace) ندارد. فهرست جزئیات به ۲۰۰ مطابقت اول و رنگ‌آمیزی به هزار مطابقت اول محدود است و شمارش بعد از ده هزار مطابقت متوقف می‌شود. اجرای هر الگو حداکثر ۲ ثانیه زمان دارد؛ الگوی پرعقب‌گرد روی متن طولانی متوقف می‌شود و صفحه قفل نمی‌کند.

برای کارهای مکمل، ابزارهای دیگر ایران‌کلاد هم در مرورگر اجرا می‌شوند: فرمت‌کنندهٔ JSON برای مرتب کردن خروجی API، مقایسهٔ متن برای دیدن اثر یک جایگزینی گروهی، و ترجمهٔ Cron وقتی الگوی زمان‌بندی اسکریپت پاک‌سازی لاگ را می‌نویسید. فهرست کامل را در صفحهٔ ابزارها ببینید. اگر Regex را برای پردازش لاگ روی سرور لازم دارید، یک سرور ابری با دسترسی کامل ریشه همهٔ ابزارهای خط فرمان را در اختیارتان می‌گذارد.