含非a-Z字符的邮箱统一转小写是否安全？技术实现咨询

你当前用toLowerCase()的方案存在漏洞：像德语ß这种有特殊大小写等价规则的字符，toLowerCase()没法把它和对应的大写形式SS转换成同一个字符串——比如用户注册时输入Straße@example.com，存的是straße@example.com，但登录时输入STRASSE@example.com，转小写后是strasse@example.com，两者不匹配，导致登录失败。

下面是更靠谱的处理方案：

分模块处理邮箱：本地部分 + 域名部分 #

邮箱分@前后两部分，规则不一样：

• 域名部分：DNS本身就是大小写不敏感的，直接统一转小写就行，不用管特殊字符。
• 本地部分：要处理Unicode字符的大小写等价问题，得用Unicode全大小写折叠把等价字符统一成同一种表示。

具体实现（伪代码） #

JS原生的toLowerCase()只做简单转换，处理不了ß和SS这种情况，得手动补全特殊字符的映射：

function normalizeEmail(email) {
  // 先清掉前后空格，拆分成本地和域名部分
  const trimmed = email.trim();
  const [local, domain] = trimmed.split('@');
  
  if (!local || !domain) throw new Error("邮箱格式无效");

  // 处理本地部分：统一等价字符 + 转小写
  const normalizedLocal = local
    .normalize('NFC') // 统一Unicode编码，避免同字不同码的问题
    .replace(/ß/g, 'ss') // 把小写ß换成ss
    .replace(/ẞ/g, 'ss') // 处理大写的ẞ（部分德语环境的写法）
    .toLowerCase(); // ASCII字母转小写

  // 域名部分直接转小写
  const normalizedDomain = domain.toLowerCase();

  return `${normalizedLocal}@${normalizedDomain}`;
}

// 存储时用规范化后的邮箱
db.user.save({ email: normalizeEmail(inputEmail), ... })

// 登录查找时同样规范化输入
db.user.find("email", normalizeEmail(inputEmail))

为什么不选其他方案？ #

• 用toLocaleLowerCase()：这个方法的转换规则依赖运行环境的区域设置，比如土耳其语里I会转成ı而不是i，跨环境用会出现不一致，没法保证匹配的可靠性。
• 只转A-Z保留其他字符：这种方式处理不了ß和SS的等价匹配，用户输入不同形式时还是登不上，满足不了需求。

额外提醒 #

• 如果要支持更多语言的特殊字符（比如土耳其语的İ/ı、希腊语特殊字母），可以参考Unicode官方的大小写折叠映射表补充替换规则，或者用现成的邮箱规范化库简化工作。
• 建议数据库里同时存用户原始输入的邮箱（发邮件的时候用），只把规范化后的邮箱用来做登录匹配。

内容的提问来源于stack exchange，提问作者Oscar