Sonar扫描检测到正则表达式存在DoS安全热点风险，如何修复及转为Java函数？

问题根源 #

这段代码里的正则^.*[^a-zA-Z0-9 \\].*$被Sonar标记为DoS风险，原因是前后的.*属于贪婪匹配——当处理超长字符串时，正则引擎会反复回溯尝试匹配，消耗大量CPU资源，导致服务无法响应。这个正则的实际意图是检查字符串中是否存在至少一个非[a-zA-Z0-9、空格、反斜杠]的字符，完全没必要用这么冗余且危险的写法。

修复方案1：优化正则表达式 #

直接简化正则，改用find()方法替代matches()，避免不必要的全字符串匹配和回溯：

// 预编译正则（建议作为类常量，避免重复编译损耗性能）
private static final Pattern ILLEGAL_CHAR_PATTERN = Pattern.compile("[^a-zA-Z0-9 \\\\]");

public boolean hasIllegalChar(String name) {
    if (name == null) {
        return false; // 可根据实际业务需求处理null场景
    }
    return ILLEGAL_CHAR_PATTERN.matcher(name).find();
}

优化点说明：

• 去掉了前后冗余的.*，正则只需找到任意一个非法字符就返回，无需匹配整个字符串
• 消除了贪婪匹配带来的回溯爆炸风险
• 预编译正则能提升重复调用时的性能

修复方案2：纯Java函数实现（彻底替代正则） #

如果不想依赖正则，直接遍历字符串逐个判断字符，从根源上规避ReDoS风险：

public boolean hasIllegalChar(String name) {
    if (name == null) {
        return false; // 按业务需求处理null情况
    }
    for (char c : name.toCharArray()) {
        boolean isAllowed = (c >= 'a' && c <= 'z') 
                        || (c >= 'A' && c <= 'Z') 
                        || (c >= '0' && c <= '9') 
                        || c == ' ' 
                        || c == '\\';
        if (!isAllowed) {
            return true; // 找到非法字符立即返回，无需遍历全部
        }
    }
    return false;
}

这个方案的优势：

• 完全没有正则引擎的开销，性能稳定可控
• 逻辑直观易懂，维护成本低，不会踩正则的语法陷阱
• 处理超长字符串时效率更高，不会出现CPU占用飙升的情况

方案选择建议 #

如果业务场景中字符串长度普遍较短，优化后的正则足够安全高效；如果需要处理可能的超长输入，纯Java函数是更稳妥的选择——彻底规避了正则的潜在风险。

内容的提问来源于stack exchange，提问作者Techie