密码校验正则工作原理及positive lookahead语法用法解析

你给出的正则 ^(?=.*?[A-Z])(?=.*?[a-z])(?=.*?[0-9])(?=.*?[#?!@$%^&*-_]).{8,}$ 是非常通用的密码强度校验规则，作用是校验输入字符串必须同时满足字符种类要求和最低长度要求。

首先先澄清你遇到的两个认知困惑：

• 关于?符号的作用：你之前了解的「?表示可选值、匹配0次或1次」只是它的用法之一，这个符号在正则里有三种完全不同的语义：跟在普通匹配单元后时表示可选匹配；跟在*/+/{n,}这类量词后面时，表示将默认的贪婪匹配切换为非贪婪匹配（即匹配到满足条件的最短内容就停止，不尽可能多吞字符）；出现在(?=)/(?!)/(?:)这类特殊分组的开头时，是特殊分组的语法标识，和可选匹配没有任何关系。
• 关于正向前瞻（positive lookahead）：(?=匹配规则) 就是正向前瞻语法，它的核心逻辑是从当前指针位置向后检查，必须能匹配到指定规则，但整个检查过程不会消耗原字符串的字符，检查完成后指针会回到检查前的位置，继续执行后续的正则匹配。你可以把连续堆叠的正向前瞻理解为多道并行的准入门槛，字符串必须同时满足所有门槛的要求，才会进入后续的正式匹配流程。

接下来逐段拆解整个正则的执行逻辑：

1. 开头的^表示匹配字符串的起始位置，所有后续的前瞻校验都从字符串最开头的位置启动：
   • (?=.*?[A-Z])：校验字符串任意位置必须存在至少1个大写英文字母（A-Z），这里的.*?就是非贪婪模式的任意字符匹配，会从开头往后逐个找，碰到第一个大写字母就判定本项校验通过，不用遍历完整个字符串，性能优于贪婪匹配写法。
   • (?=.*?[a-z])：校验字符串任意位置必须存在至少1个小写英文字母（a-z）。
   • (?=.*?[0-9])：校验字符串任意位置必须存在至少1个0-9的数字。
   • (?=.*?[#?!@$%^&*-_])：校验字符串任意位置必须存在至少1个规则内的特殊字符，包含#/?/!/@/$/%/^/&/*/-/_。
2. 四道前瞻校验全部通过后，才会执行正式的长度匹配：.{8,}$。其中.匹配除换行符外的任意字符，{8,}表示匹配长度至少为8位，末尾的$表示匹配到字符串的结束位置，这一段的实际作用就是要求整个输入字符串的总长度不低于8位。

需要注意的是，因为每个前瞻规则都用.*?跳过了前置的任意字符，所以四类要求的字符不需要按固定顺序出现，不管大写、小写、数字、特殊符号排在字符串的哪个位置，只要全部存在、且总长度达标，就能通过匹配。

内容的提问来源于stack exchange，提问作者Shark44