RegExp.escape в ECMAScript 2026: безопасное экранирование без самописных функций

hannadev

В ECMAScript 2026 появился метод RegExp.escape. Он экранирует специальные символы в строке, чтобы её можно было безопасно использовать в регулярных выражениях. Это избавляет от необходимости писать собственные функции экранирования.

Раньше разработчики вручную добавляли обратные слеши перед символами вроде . * + ?. Безопасность страдала, особенно при работе с пользовательским вводом. Теперь RegExp.escape решает эту проблему стандартным способом. Метод автоматически обрабатывает все потенциально опасные символы.

Что делает RegExp.escape и зачем он нужен

Метод RegExp.escape

\ и /.

Без экранирования строка “hello.world” в RegExp превратится в шаблон, который будет искать hello, за которым следует любой символ, а потом world. Это приведёт к неверным совпадениям. С RegExp.escape строка станет “hello.world” и будет искать точное вхождение. Это критично для динамических RegExp из пользовательских данных.

Представьте поиск домена в URL. Пользователь вводит “developer.mozilla.org”. Без экранирования точки сбивают логику. Метод гарантирует, что строка трактуется буквально. Он учитывает все edge-кейсы, которые сложно покрыть вручную.

Синтаксис прост: RegExp.escape(строка) возвращает экранированную версию.
Автоматическое экранирование: Обрабатывает \x, [abc] и другие комбинации.
Безопасность: Предотвращает инъекции в RegExp из непроверенных источников.
Совместимость: Работает везде, где поддержан ES2026.

Исходная строка	RegExp.escape(result)	Результат в RegExp
hello.world	hello.world	Точное совпадение
[abc]*	[abc]*	Литерал [abc]*
Buy it.	Buy\ it.	Точное вхождение

Как использовать RegExp.escape на практике

С RegExp.escape создание динамических RegExp становится надёжным. Возьмём функцию удаления неэкранированного текста. Без метода пришлось бы вручную экранировать каждый символ. Теперь код короче и безопаснее.

Пример: удаляем все вхождения слова “yes” вне кавычек. Используем lookbehind и RegExp.escape. Это работает с любым текстом без риска сломать RegExp. Метод экранирует даже пробелы и точки корректно.

Раньше самописные функции вроде replace(/[-/^$*+?.()|[]{}]/g, ‘\$&’) пропускали контекстные нюансы. RegExp.escape учитывает все спецификации ECMAScript. Он использует оптимальные escape-последовательности для максимальной совместимости.

const removeUnquotedText = (str, text) => {
  const escaped = RegExp.escape(text);
  const regExp = new RegExp(`(?<!")${escaped}(?!")`, 'gu');
  return str.replaceAll(regExp, '•');
};

console.log(removeUnquotedText('“yes” and yes and “yes”', 'yes'));
// “yes” and • and “yes”

Lookbehind работает только с экранированной строкой - иначе сломается.
Поддержка Unicode - метод экранирует свойства корректно.
Глобальный флаг ‘g’ - комбинируется без проблем.
Интеграция с /v флагом - для продвинутых наборов строк.

Сравнение с самописными решениями

Самописные функции экранирования - это классическая ловушка. Они выглядят просто, но ломаются на сложных случаях. RegExp.escape стандартизирован и протестирован TC39.

Возьмём популярный хак: string.replace(/[.*+?^${}()|[\]\\]/g, '\\$&'). Он не покрывает все символы, как / в шаблонах. Плюс игнорирует контекст, где escape не нужен. Метод же универсален и следует спецификации.

В реальных проектах самописный код приводит к багам. Например, при обработке URL с поддоменами точки множат совпадения. RegExp.escape устраняет такие риски. Тесты показывают, что он обрабатывает 100% edge-кейсов.

Подход	Преимущества	Недостатки
Самописный replace	Быстро написать	Неполное покрытие, баги
RegExp.escape	Полная безопасность, стандарт	Требует ES2026
Template literals	Удобно для простых случаев	Не для динамики

Важно: Не используйте replaceAll для экранирования - он не учитывает контекст RegExp.

Тестирование: Проверьте на строках с эмодзи и Unicode.
Производительность: Метод оптимизирован, быстрее хаков.
Браузеры: Поддержка в Chrome, Firefox после 2026.

Новые возможности RegExp вместе с escape

RegExp.escape интегрируется с флагом /v и inline-модификаторами из ES2026. Это открывает двери для сложных паттернов. Например, наборы строк с Unicode-свойствами теперь безопасны.

Флаг /v позволяет Unicode set escapes вроде \p{Emoji}. С экранированием динамические части не ломают шаблон. Inline-флаги (*modifiers) дают гибкость без конструктора RegExp.

Пример: new RegExp(RegExp.escape(userSet) + (?=\p{L}), 'v'). Это ищет пользовательский набор перед буквой. Без метода пользовательский ввод сломал бы \p.

Метод дополняет Promise.try и Float16Array, делая JS мощнее. Но фокус на RegExp - здесь он меняет правила игры для парсинга и валидации.

Почему это меняет подход к RegExp

RegExp.escape делает регулярки доступными без deep dive в спецификацию. Разработчики избегают boilerplate и фокусируются на логике. Это шаг к более предсказуемому коду.

Остаётся место для шаблонных тегов или улучшений EscapeRegExpPattern. Стоит поэкспериментировать с /v в комбинации - там скрыт потенциал для новых паттернов matching.