正则表达式攻击向量?

尝试 Regexp.escape :

>> Regexp.escape('foo\bar\baz$+')
=> "foo\\\\bar\\\\baz\\$\\+"

所以您的代码看起来像:

q = params[:q]
re = Regexp.escape(q)
all_values.collect { | col | [col.name] if col.name =~ /(\W|^)#{re}/i }.compact

那么,您希望用户能够提供任意的正则表达式,还是只提供一些可以引用的文本?如果用户既可以提供正则表达式,也可以提供将尝试与之匹配的文本,那么通过提供具有指数运行时的表达式来进行DoS攻击并不困难。