如何优化正则表达式以匹配Windows日志指定范围的4位事件代码

原正则存在的核心问题 #

• 字符组逻辑错误：9[0|4]、537[6|7]这类写法里，|在方括号包裹的字符组中是普通竖线字符，并非逻辑或，实际会误匹配竖线本身，而非预期的4790/4794、5376/5377，完全偏离需求。
• 边界匹配失效：原正则末尾写的\\是无意义的反斜杠匹配，既不符合日志实际结构，也没有把事件号的后边界做限定，容易把嵌入在更长数字串里的片段误匹配。
• 分支冗余混乱：嵌套分组过深，重复的分支逻辑多，比如多次重复写47开头的前缀，既拖慢匹配效率，也容易出现范围漏写、错写的问题。
• 长度约束缺失：没有固定捕获内容的长度边界，无法严格保证匹配结果是4位数字。

优化思路 #

完全贴合列出的事件号范围，结合实际日志里事件号被前后制表符包裹的样本特征，用固定长度分支替代冗余的范围匹配，去掉所有无效的逻辑写法，同时匹配提到的“被制表符、斜杠包围”的边界规则：

• 所有需要匹配的事件号都是固定4位长度，把范围拆成最精简的字符匹配分支，没有变长逻辑，从结构上保证结果不会多字少字。
• 严格限定前后边界：事件号前固定匹配制表符\t，后边界兼容制表符\t和斜杠/，彻底避免数字串跨位置误匹配。
• 用非捕获组包裹中间的范围分支，仅保留需要的命名捕获组event_code，减少正则引擎的不必要开销。

最终优化完成的正则 #

\t(?P<event_code>(?:47(?:2\d|3[0-5]|3[7-8]|[45]\d|6[0-2]|6[4-7]|8[0-1]|8[3-9]|90|94)|537[6-7]))(?:\t|/)

匹配验证说明 #

• 全覆盖列出的事件号范围：4720-4735、4737-4738、4740-4762、4764-4767、4780-4781、4783-4790、4794、5376-5377，无遗漏，同时自动排除了不在需求范围内的4736、4763、4782、4791-4793等事件号。
• 结合提供的日志样本，事件号4723被前后制表符包裹，完全符合匹配规则，会被正确捕获到event_code字段中。
• 所有捕获结果都是严格4位数字，因为每个分支都是固定4位长度，不存在长度浮动的可能。

内容的提问来源于stack exchange，提问作者Assen Antonov