RegExp.escape в ECMAScript 2026: защита от инъекций без библиотек

[hannadev]

В ECMAScript 2026 появился метод RegExp.escape. Он экранирует специальные символы в строках, чтобы их можно было безопасно использовать в регулярных выражениях. Это решает проблему инъекций, когда пользовательский ввод ломает паттерны.

Раньше для этого приходилось писать свои функции или тянуть библиотеки. Теперь всё встроено в JavaScript, без лишнего кода. Метод упрощает поиск и замену, валидацию форм, обработку динамических данных. Защита от ошибок и атак стала проще.

Что делает RegExp.escape и зачем он нужен

RegExp.escape берёт строку и экранирует все символы, которые имеют особое значение в RegExp: точки, звездочки, скобки, слеши и другие. Без экранирования строка может интерпретироваться как часть синтаксиса RegExp, что приводит к неожиданным результатам или уязвимостям.

Представьте поиск по пользовательскому вводу. Если юзер введёт “.*”, это захватит всю строку вместо точного совпадения. Метод превращает такие символы в безопасные последовательности, как . или *. В ECMAScript 2026 это стандарт, поддержанный всеми движками.

Теперь посмотрим на примеры. Без escape:

const input = "example.com.*";
const re = new RegExp(input);
// re станет /example\.com\*+/ - нет, сломается на .* и захватит всё

С escape всё работает:

const escaped = RegExp.escape(input);
const re = new RegExp(escaped);
// Надёжно ищет "example.com.*" буквально

Вот ключевые символы, которые экранирует метод:

• . - точка, обозначает любой символ
• *** , + , ?** - квантификаторы
• { }
  - группы и классы
• ^ $ \ | / - якоря, альтернативы и разделители

Важный нюанс: метод не трогает обычные буквы, только потенциально опасные. Это делает его универсальным для любых строк.

Символ	Без escape	С RegExp.escape
.	любой символ	. (точка)
*	0+ повторений	*
(foo)	группа	(foo)
\d	цифра	\d

Проблема инъекций в RegExp и как её решить

Инъекции в регулярках - частая дыра в коде. Пользовательский ввод попадает в паттерн и меняет его логику. Например, в поиске или замене строк это приводит к неверным результатам или утечкам данных.

Раньше разработчики вручную экранировали символы, но списки забывали обновлять. Или использовали polyfill’ы вроде core-js. Теперь RegExp.escape делает это автоматически, по стандарту ECMAScript 2026. Нет нужды в библиотеках - метод есть везде.

Классический случай: удаление домена из URL. Без escape:

function removeDomain(text, domain) {
  return text.replace(new RegExp(`https?://${domain}`), '');
}
// Если domain = "example.com(?=/)", паттерн сломается

С escape:

function removeDomain(text, domain) {
  const escaped = RegExp.escape(domain);
  return text.replace(new RegExp(`https?://${escaped}(?=/)`), '');
}
// Безопасно для любого ввода

Преимущества над ручным экранированием:

• Полный список символов по спецификации TC39
• Работает с Unicode и эмодзи
• Производительнее самописных функций
• Нет ошибок от забытых символов

Нюанс: метод предназначен только для литеральных паттернов в new RegExp(). В шаблонных литералах (/…/) он не нужен.

Примеры использования в реальных задачах

Метод идеален для динамических поисков. В валидации форм он проверяет точное совпадение без сюрпризов. В парсерах логов - экранирует пути и имена файлов.

Возьмём замену всех вхождений слова. Пользователь вводит фразу с точками: “fix.it”. Без escape это станет квантификатором. С методом - точным матчем. Ещё пример: маскировка email в тексте.

const email = userInput; // "user@(example.com)"
const safe = RegExp.escape(email);
text = text.replace(new RegExp(safe, 'gi'), '[EMAIL]');

Это защитит от инъекций и сделает код чище.

Практические сценарии:

• Поиск по базам данных в JS (фильтры)
• Валидация пользовательских шаблонов
• Обработка CSV с разделителями
• Парсинг конфигов и JSON-подобных строк

Таблица сравнения до и после:

Задача	До ECMAScript 2026	С RegExp.escape
Поиск домена	Ручной escape, ошибки	new RegExp(RegExp.escape(domain))
Замена пути файла	Polyfill или функция	Встроенный метод
Unicode строки	Проблемы с эмодзи	Полная поддержка

Безопасность без overhead

RegExp.escape меняет подход к RegExp. Теперь динамические паттерны не требуют paranoia-кода. Производительность на уровне нативных функций, без зависимостей.

{ } | / и обратные слеши. Для сложных случаев комбинируйте с флагами u или v. В ECMAScript 2026 это часть спецификации, финализированной TC39.

Что учесть:

• Тестируйте с реальными данными
• Комбинируйте с .replaceAll() для глобальной замены
• В старых браузерах - polyfill от es-shims

Новые горизонты в RegExp

RegExp.escape открывает двери для чистого кода в ECMAScript 2026. Остались темы вроде inline-модификаторов флагов или Promise.try, но escape уже решает повседневные боли.

Дальше можно копать Unicode-совместимость или оптимизации для больших строк. Это шаг к более безопасному JavaScript без костылей.