Regex-Tester

Ein regulärer Ausdruck ist wirklich schwer mental gegen echten Text nachzuverfolgen — ein Muster wie `(\d{3})-(\d{2})-(\d{4})` ist als abstrakte Beschreibung lesbar genug, aber zu bestätigen, dass es exakt die beabsichtigten Teilzeichenketten trifft, und nur diese, gegen einen bestimmten Block Beispieltext ist eine andere Art der Prüfung, als das Muster zu lesen und darüber nachzudenken. Jede Übereinstimmung direkt im Beispieltext hervorzuheben, während das Muster geschrieben wird, verwandelt dieses abstrakte Denken in eine konkrete, sofortige visuelle Bestätigung — Übereinstimmungen erscheinen, wo erwartet, oder nicht, ohne mentale Simulation.

Das wird besonders wertvoll bei allem, das Lookahead, Lookbehind, oder nicht-gierige Quantoren nutzt, wo die echten Übereinstimmungsgrenzen oft nicht das sind, was jemand allein durch Lesen des Musters raten würde. Genau zu sehen, wo eine Übereinstimmung beginnt und endet, statt anzunehmen, erkennt einen Off-by-one-Grenzfehler sofort statt nach der Veröffentlichung in einer Validierungsfunktion.

Regex-Syntax wirkt zwischen Sprachen weithin ähnlich, aber die genau unterstützten Funktionen unterscheiden sich auf Weisen, die zählen, sobald ein Muster etwas über die Grundlagen hinaus nutzt. JavaScript fehlen possessive Quantoren und atomare Gruppen, beide in PCRE existent (genutzt von PHP und vielen anderen Tools) als Wege, bestimmte Rückverfolgungsmuster explizit zu verhindern. Lookbehind-Assertions, jetzt in JavaScript unterstützt, kamen deutlich später als Lookahead und waren in älteren Browserversionen nicht verfügbar, was für Code, der in Legacy-Umgebungen laufen muss, gelegentlich noch zählt. Und `\d` in einem JavaScript-Muster passt nur auf ASCII-Ziffern 0–9, außer das Muster trägt auch das `u`-Flag (Unicode), was jeden überrascht, der annimmt, es verhalte sich wie eine Unicode-bewusste Ziffernklasse in der Regex-Engine einer anderen Sprache. Ein speziell für JavaScript bestimmtes Muster zu testen, statt ein für Python oder ein Shell-Tool geschriebenes Beispiel zu kopieren, ist es, wofür dieses Tool gebaut ist.

Bestimmte Regex-Muster — am häufigsten solche mit verschachtelten Quantoren wie `(a+)+b` — haben eine pathologische Eigenschaft, bei der der Motor gegen eine lange, letztlich nicht übereinstimmende Zeichenkette eine exponentiell wachsende Anzahl von Rückverfolgungswegen erkundet, bevor er aufgibt. Ein Muster, das sofort Ergebnisse gegen eine nicht übereinstimmende Zehn-Zeichen-Kette liefert, kann bei einer Fünfzig-Zeichen-Kette länger als das Alter des Universums brauchen, was keine Übertreibung ist, sondern das buchstäbliche mathematische Verhalten exponentiellen Wachstums. Das ist eine echte, ausnutzbare Schwachstellenklasse in Produktionssystemen — ein ReDoS, oder Denial of Service durch regulären Ausdruck — bei der ein Angreifer, der die Eingabezeichenkette zu einem verwundbaren Muster kontrolliert, einen Serverprozess mit einer einzigen Anfrage unbegrenzt lahmlegen kann.

Dieses Tool bricht die Auswertung nach einem kurzen Zeitbudget ab, speziell damit ein Muster mit dieser Eigenschaft die Testsitzung statt den gesamten Browser-Tab einfriert, und dieses Abbrechen zu erreichen ist selbst nützliche Information: Es bedeutet, das Muster hat wahrscheinlich genau diese Schwachstelle und muss umstrukturiert werden, typischerweise indem ein innerer Quantor spezifischer gemacht wird, damit die Mehrdeutigkeit, die exponentielles Backtracking verursacht, gar nicht erst entstehen kann.