使用Dgraph Go客户端时能否结合变量实现正则搜索？

首先明确：Dgraph的GraphQL+-查询语法中，正则表达式字面量（/.../）并不支持直接插入查询变量——因为正则表达式是在查询被Dgraph解析阶段就被编译的，无法在运行时动态替换其中的变量占位符。这也是你尝试的两种写法都没有返回结果的原因：

• 第一种写法/^.*$searchterm/中，$searchterm会被正则引擎当作字面量字符串（也就是匹配包含$searchterm这个子串的内容），而不是解析为查询变量；
• 第二种写法/$searchterm/同理，Dgraph会把整个$searchterm当成正则的匹配目标，而不是替换为你传入的变量值。

解决方案 #

根据你的需求，有两种安全的实现方式：

1. 使用Dgraph内置的字符串匹配函数（推荐，无注入风险）

如果你的搜索需求不需要复杂的正则规则，可以用Dgraph提供的contains、match或者fulltext函数来替代正则，这些函数原生支持查询变量，完全没有注入风险：

// 示例：使用match函数实现模糊匹配（类似包含指定子串的效果）
q := `query Search($searchterm: string) {
  subdomains(func: match(name, $searchterm)) {
    uid
    name
  }
}`

// 传入变量时，match函数支持通配符：*匹配任意长度字符，?匹配单个字符
vars := map[string]string{"$searchterm": "*test*"}
resp, err := dgoClient.NewTxn().Query(ctx, q, vars)

2. 安全构建正则表达式字符串（适合复杂正则场景）

如果必须使用正则表达式，你需要在Go代码中安全地构建正则字符串，再传递给查询。关键是要对用户输入的内容进行转义，避免正则注入：

import "regexp"

// 第一步：转义用户输入中的正则特殊字符（比如.、*、+等）
userInput := "test."
escapedInput := regexp.QuoteMeta(userInput)

// 第二步：拼接成需要的正则表达式
regexPattern := fmt.Sprintf("^.*%s", escapedInput)

// 第三步：通过查询变量传递正则表达式
q := `query Search($regex: string) {
  subdomains(func: regexp(name, $regex)) {
    uid
    name
  }
}`

vars := map[string]string{"$regex": regexPattern}
resp, err := dgoClient.NewTxn().Query(ctx, q, vars)

这里regexp.QuoteMeta会把所有正则特殊字符转义成字面量，确保用户输入不会被解析为正则语法，彻底避免了注入风险。

为什么不直接用Sprintf拼接查询？ #

直接用Sprintf拼接整个查询语句确实存在注入风险——如果用户输入的内容包含}或者其他查询语法字符，可能会破坏整个查询结构，甚至执行恶意操作。上面的方式通过查询变量传递正则字符串，同时对输入转义，既满足了需求，又保证了安全性。

内容的提问来源于stack exchange，提问作者mbudge