Testeur d'expressions régulières

Une expression régulière est réellement difficile à suivre mentalement contre du vrai texte — un motif comme `(\d{3})-(\d{2})-(\d{4})` est assez lisible comme description abstraite, mais confirmer qu'il correspond exactement aux sous-chaînes prévues, et seulement celles-là, contre un bloc précis de texte d'exemple est un type de vérification différent de lire le motif et d'y réfléchir. Surligner chaque correspondance directement dans le texte d'exemple pendant l'écriture du motif transforme ce raisonnement abstrait en une confirmation visuelle concrète et immédiate — les correspondances apparaissent où attendu ou n'apparaissent pas, sans simulation mentale nécessaire.

Cela devient particulièrement précieux pour tout ce qui utilise lookahead, lookbehind, ou des quantificateurs non gourmands, où les limites réelles de correspondance ne sont souvent pas ce que quelqu'un devinerait en lisant seulement le motif. Voir exactement où une correspondance commence et finit, plutôt que de supposer, détecte une erreur de limite d'un cran instantanément plutôt qu'après publication dans une fonction de validation.

La syntaxe des expressions régulières paraît largement similaire entre langages, mais les fonctionnalités précises prises en charge diffèrent de façons qui comptent dès qu'un motif utilise quelque chose au-delà des bases. JavaScript manque de quantificateurs possessifs et de groupes atomiques, tous deux existants en PCRE (utilisé par PHP et de nombreux autres outils) comme moyens de prévenir explicitement certains motifs de recul. Les assertions lookbehind, maintenant prises en charge en JavaScript, sont arrivées bien plus tard que lookahead et n'étaient pas disponibles sur d'anciennes versions de navigateurs, ce qui compte encore occasionnellement pour du code devant s'exécuter dans des environnements hérités. Et `\d` dans un motif JavaScript ne correspond qu'aux chiffres ASCII 0–9 sauf si le motif porte aussi le drapeau `u` (Unicode), ce qui surprend quiconque suppose qu'il se comporte comme une classe de chiffres consciente d'Unicode dans le moteur regex d'un autre langage. Tester un motif destiné spécifiquement à JavaScript, plutôt que de copier un exemple écrit pour Python ou un outil shell, est ce autour de quoi cet outil est construit.

Certains motifs regex — le plus souvent ceux avec des quantificateurs imbriqués, comme `(a+)+b` — ont une propriété pathologique où, contre une longue chaîne qui ne correspond finalement pas, le moteur explore un nombre exponentiellement croissant de façons de reculer avant d'abandonner. Un motif qui renvoie des résultats instantanément contre une chaîne de dix caractères qui ne correspond pas peut prendre plus que l'âge de l'univers contre une de cinquante caractères, ce qui n'est pas une exagération mais le comportement mathématique littéral de la croissance exponentielle. C'est une classe de vulnérabilité réelle et exploitable dans les systèmes de production — un ReDoS, ou déni de service par expression régulière — où un attaquant contrôlant la chaîne d'entrée d'un motif vulnérable peut bloquer indéfiniment un processus serveur avec une seule requête.

Cet outil abandonne l'évaluation après un court budget de temps spécifiquement pour qu'un motif avec cette propriété fige la session de test plutôt que l'onglet du navigateur entier, et atteindre cet abandon est en soi une information utile : cela signifie que le motif a probablement exactement cette vulnérabilité et doit être restructuré, typiquement en rendant un quantificateur interne plus spécifique pour que l'ambiguïté causant le recul exponentiel ne puisse pas survenir en premier lieu.