如何在 Go 正则表达式中安全转义动态字符串

go 标准库提供了 `regexp.quotemeta` 函数，可将任意字符串中的正则特殊字符（如 `.`, `*`, `+`, `?`, `^`, `$`, `(`, `)`, `[`, `]`, `{`, `}`, `|`, `\` 等）自动转义为字面量，从而安全嵌入动态构造的正则表达式中。

在 Go 中构建正则表达式时，若需将用户输入或运行时变量（如 stringVar）拼接到正则模式中，绝不能直接字符串拼接，否则极易因未转义的元字符（例如 . 匹配任意字符、- 在字符类中表示范围）导致匹配逻辑错误甚至安全风险。

此时应使用 regexp.QuoteMeta(s string) string —— 它会为字符串 s 中每一个具有正则特殊含义的字符添加反斜杠前缀，使其变为字面量匹配。该函数行为等价于“对所有非字母数字和下划线的字符加 \”，且完全符合 Go regexp 包的语义。

✅ 正确用法示例：

package main

import (
    "fmt"
    "regexp"
)

func main() {
    dynamicStr := "user.name-v2" // 含 . 和 -
    escaped := regexp.QuoteMeta(dynamicStr)
    // escaped == "user\.name\-v2"

    pattern := fmt.Sprintf(`^(@|\s)*%s:?`, escaped)
    // pattern == `^(@|\s)*user\.name\-v2:?`

    re, err := regexp.Compile(pattern)
    if err != nil {
        panic(err)
    }

    fmt.Println(re.MatchString("@user.name-v2:")) // true
    fmt.Println(re.MatchString("@userXname-v2:"))  // false（. 不再通配）
}

⚠️ 注意事项：

• QuoteMeta 不处理 Unicode 字符类或高级语法（如 \p{L}），它仅做字面量转义，适用于纯字符串插值场景；
• 若需在字符类 [...] 内部插入动态内容，需额外注意 ]、-、^ 的位置（QuoteMeta 已妥善处理，但建议避免手动拼接字符类）；
• QuoteMeta 不会修改字符串长度语义（如不转义 \n 或 \t），它只针对正则引擎解释的元字符生效；
• 始终在 regexp.Compile 前完成转义，避免编译失败或意外行为。

总结：regexp.QuoteMeta 是 Go 中与 PHP preg_quote() 功能完全对应的官方方案，是动态构造正则表达式的必备安全工具——只要涉及变量插值，就应无条件使用它。