为何PHP中密码验证正则表达式失效？HTML中可正常运行

嘿，我完全懂你遇到的困惑——同样的正则表达式在HTML的input标签里能好好限制密码长度在6-128字符，但放到PHP的preg_match里就“失灵”了，超过128字符的密码居然还能通过验证。别慌，咱们一步步拆解问题所在：

核心原因：锚定规则的差异 #

HTML的pattern属性有个默认行为：它会自动给你的正则表达式前后加上^（字符串开始）和$（字符串结束）断言，相当于强制检查整个输入内容是否完全匹配规则。比如你写的(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).{6,128}，在HTML里实际生效的是^(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).{6,128}$，所以能严格限制长度。

但PHP的preg_match不一样，它默认只要字符串中存在任意一段符合正则的子串就会返回true，不会自动锚定整个内容。举个例子：如果你的密码是130个符合规则的字符，preg_match会匹配到前128个字符的片段，直接返回true，完全不会管后面多出来的字符。

修复方案：手动添加锚定断言 #

你只需要给正则表达式加上^和$，强制要求匹配整个字符串即可。修改后的代码如下：

if (!preg_match("/^(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).{6,128}$/", $password_1)) {
    array_push($errors, "Password does not match the requested format");
}

补充说明 #

• 关于你提到的“允许空格及特殊字符”：正则里的.在默认模式下会匹配除换行符外的任意字符，已经包含空格和各种特殊字符了，所以这部分不需要额外调整。
• 验证逻辑的优先级：^和$要放在最外层，确保整个字符串的长度被检查，而三个正向预查（(?=.*...)）用来校验密码必须包含的字符类型，顺序不影响结果。

现在再测试超过128字符的密码，preg_match就会正确返回false，和HTML的pattern行为保持一致啦。

内容的提问来源于stack exchange，提问作者user10201814