Java 11中SonarQube报ReplaceAll正则回溯安全热点的修复咨询

问题说明 #

你的Java 11代码中，用于Mongo URI脱敏的正则"(mongodb://.+:)(.*)(@.+)"被SonarQube标记为安全热点，原因是正则匹配时的回溯操作可能引发DoS攻击，且该告警由replaceAll调用触发。要求不能使用//NOSONAR注释跳过检测，需实际修复问题。

原代码的核心问题 #

原正则里的.+和.*均为贪婪匹配模式，当遇到特殊构造的长输入时，正则引擎会反复尝试不同的匹配位置，产生大量无意义的回溯操作，持续消耗CPU资源，这正是SonarQube触发告警的原因。

两种可行修复方案 #

方案1：优化正则表达式，消除回溯风险 #

将贪婪匹配改为精准范围匹配，避免引擎做无用的回溯尝试：

final String MONGO_REG = "(mongodb://[^:]+:)([^@]*)(@.+)";
final String PASSWD_REPLACEMENT = "XXXXXXXXXX";
String mongoUri = "mongodb://myDBReader:D1fficultP%40ssw0rd@mongodb0.example.com:27017/?authSource=admin";
String newMongoUri = mongoUri.replaceAll(MONGO_REG, "$1" + PASSWD_REPLACEMENT + "$3");
logger.info(">>> {}", newMongoUri);

• [^:]+：仅匹配到第一个:为止，精准定位用户名的结尾，不会跨:过度匹配
• [^@]*：仅匹配到第一个@为止，精准覆盖密码部分，彻底消除不必要的回溯

方案2：弃用正则，用字符串原生操作实现脱敏 #

完全绕开正则，直接通过字符串索引定位替换，性能更稳定，也不会触发SonarQube告警：

final String PASSWD_REPLACEMENT = "XXXXXXXXXX";
String mongoUri = "mongodb://myDBReader:D1fficultP%40ssw0rd@mongodb0.example.com:27017/?authSource=admin";

// 定位关键符号的位置
int startAfterProtocol = mongoUri.indexOf("://") + 3;
int colonAfterUser = mongoUri.indexOf(":", startAfterProtocol);
int atAfterPass = mongoUri.indexOf("@", colonAfterUser);

if (colonAfterUser != -1 && atAfterPass != -1) {
    // 拼接脱敏后的URI
    String newMongoUri = mongoUri.substring(0, colonAfterUser + 1) 
                        + PASSWD_REPLACEMENT 
                        + mongoUri.substring(atAfterPass);
    logger.info(">>> {}", newMongoUri);
} else {
    // 处理格式不符合预期的URI，直接输出原内容或做其他适配处理
    logger.info(">>> {}", mongoUri);
}

这种方法逻辑直观，没有正则匹配的额外开销，彻底规避了回溯风险。

内容的提问来源于stack exchange，提问作者career2