特定主机名匹配时DNS主机名正则超时问题修复求助

问题描述 #

现有用于DNS主机名校验的正则表达式如下：

^\*|^(\*\.)?((xn\-\-)?_?[a-zA-Z0-9]+([\/\-_]*[a-zA-Z0-9]+)*_?(((\.xn\-\-)|\.)[\-_]?[a-zA-Z0-9]+([\/_\-]*[a-zA-Z0-9]{1,}){0,})*\_?\.?)?(((xn\-\-)?_?[a-zA-Z0-9]+(((\.xn\-\-)?|[\-\._])[a-zA-Z0-9]+)*\.)*(xn\-\-)?[a-zA-Z0-9]{2,})?\.?$

使用该正则匹配以下主机名时，会触发匹配超时问题：

hjksdhfkjshdkjfhsjkdddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddddfs._

问题原因 #

原正则存在多处可触发**灾难性回溯（Catastrophic Backtracking）**的结构：嵌套的可变长量词、相邻匹配规则的字符集存在重叠，典型如([\/\-_]*[a-zA-Z0-9]+)*、(((\.xn\-\-)?|[\-\._])[a-zA-Z0-9]+)*这类写法。当输入为长字符串且最终无法匹配全规则时，正则引擎会尝试指数级数量的匹配路径，直接导致匹配耗时飙升，触发ReDoS（正则表达式拒绝服务）问题。

优化方案 #

优化后的正则完全保留原有业务匹配能力（支持通配符开头、punycode域名、下划线兼容、末尾可选根点），同时从结构上彻底消除回溯触发点，匹配耗时稳定无波动：

^(?:\*|(?:\*\.)?(?:_?(?:xn--)?[a-zA-Z0-9](?:[a-zA-Z0-9/_-]*[a-zA-Z0-9])?)(?:\.(?:_?(?:xn--)?[a-zA-Z0-9](?:[a-zA-Z0-9/_-]*[a-zA-Z0-9])?))*\.?)$

优化点说明 #

• 移除所有嵌套的多重量词组合，每个点分隔的域名标签匹配边界清晰，无重叠字符集匹配逻辑，从根源上杜绝回溯爆炸
• 明确标签校验规则：每个标签以字母/数字开头、结尾，中间允许字母、数字、下划线、连字符、斜杠；如果业务不需要匹配斜杠，直接删除字符集内的/即可
• 完整保留对punycode编码xn--前缀、开头通配符（*或*.）、末尾可选根点的兼容
• 针对触发超时的测试用例，可在微秒级完成不匹配判定，无任何卡顿

补充：如果需要严格遵循标准DNS域名规范（不允许下划线、斜杠，标签首尾不能为连字符，总长度不超过253字符、单标签长度不超过63字符），可在正则匹配前增加长度前置校验，进一步提升匹配效率。

内容的提问来源于stack exchange，提问作者Nagesh Thati