Regex-LE

Regex-LE：手間なく正規表現を抽出・検証

現在のファイル内の正規表現パターンを検索、テスト、検証
リテラルパターン、RegExp コンストラクター、ReDoS スクリーニング

役に立ちましたか？ スターや評価を付けると、ほかの開発者に見つけてもらいやすくなります — ★ GitHub · ★ Open VSX · ★ Marketplace

できること

任意のファイルを開き、3つのコマンドのいずれかを実行します。Extract はドキュメント内で見つかったすべての正規表現パターンを一覧表示します。Test は、見つかったパターンまたは手動で入力したパターンをファイルの内容に対して実行し、実際の行・列位置とキャプチャグループ（名前付きグループを含む）を示して、一致箇所を報告します。Validate は、見つかったすべてのパターンの構文エラーをチェックし、壊滅的なバックトラッキングの可能性をスクリーニングして、それを引き起こす入力を報告します。VS Code、および Cursor や VSCodium などの VS Code ベースのエディターで動作します（Open VSX からインストールできます）。

インストール

AI エージェントから使用する

同じエンジンがMCPサーバーとして動作するため、コマンドを自分で実行しなくても、エージェントから直接呼び出せます。

extract_patterns(content, format?, filename?, maxResults?)

すべてのパターンについて、フラグ、1始まりの位置、ReDoS 判定を返すため、「このファイル内に危険な正規表現はありますか？」という確認を、2回ではなく1回の呼び出しで行えます。爆発的な処理を報告する判定には、その原因となった witness が含まれるため、エージェントは結果を鵜呑みにせず、検出内容を確認できます。

サーバーはコンテンツを受け取ってデータを返すだけです。ファイルの読み込みや、独自のネットワークリクエストは行いません。npm の regex-le-mcp として、またMCP レジストリの io.github.nolindnaidoo/regex-le として公開されています。

{
  "mcpServers": {
    "regex-le": {
      "command": "npx",
      "args": ["-y", "regex-le-mcp"]
    }
  }
}

npm install -g regex-le-mcp

{
  "mcpServers": {
    "regex-le": { "command": "regex-le-mcp" }
  }
}

echo '{"jsonrpc":"2.0","id":1,"method":"tools/list"}' | npx -y regex-le-mcp

ドキュメント全体をスキャンするため、複数行に分かれたコンストラクターも見つかります。ドキュメントの言語に応じて、検索する表記が選ばれます。

認識されない言語であることは、処理が拒否されるという意味ではありません。上記のすべての表記が検索されます。言語を指定すると精度が上がります。Python ファイルでは /…/ の裸の表記を検索しないため、#!/usr/bin/env python がパターンとして読み取られることはありません。

意図的に抽出しないもの：

• 除算、日付、ファイルシステムのパス（a / b、10/29/2025、/usr/local/bin）：識別子、数値、)、]、.、または別の / の直後にある / は、正規表現として扱われません。ただし、return などのキーワードの後では扱われます。この判定を行うのは、/…/ の裸の表記が有効な場合だけです。
• これらの言語のいずれかで正しい形式の正規表現にならない候補、または無効なフラグや重複したフラグを含む候補。他言語の表記は構文エラーとは見なされません。re.compile(r'(?P<word>\w+)+@') は記述どおりに報告され、引き続きフラグが付けられます。
• パターン引数が変数であるコンストラクター呼び出し、または ${…} による置換を含むテンプレートリテラル。文字列リテラル、静的テンプレートリテラル、および String.raw`…` は読み取られます。
• JavaScript のリテラルまたはコンストラクター以外に指定されたフラグ。他のすべての言語では、フラグは文字列引数ではなく、定数、ビルダーメソッド、またはインラインの (?i) で設定されます。
• コメントや文字列の中に書かれたものはすべて。 危険性を説明する JSDoc ブロック、コメントアウトされた行、例を含む Python のドキュメント文字列は、いずれもコードではありません。文章に対して報告を行うとビルドが失敗します。このルールは候補がどこから始まるかを基準にするため、re.compile(r"(a+)+b") では引用符で囲まれた引数も保持されますが、その行全体を含むドキュメント文字列は文章として扱われます。これは言語が判明している場合に限ります。どの言語も認識されないドキュメントは、記述どおりにスキャンされます。誤った文法をもとにコメントのルールを推測すると、実在しないパターンではなく、本物のパターンを除外してしまうためです。

パターンとフラグの組み合わせが重複している場合は、1 回だけリストされます。これはヒューリスティックによる字句解析であり、9 つの言語に対応するパーサーではありません。文字列内のスラッシュも、文脈が式のように見える場合は検出されることがあります。

ReDoS のスクリーニング

Validate（および、危険なパターンを実行する前の Test）は、入力によって壊滅的なバックトラッキングが確実に発生することが判明した場合に限り、そのパターンを報告します。さらに、その入力を witness として併記します。

パターンが実行されることはありません。パターンをオートマトンにコンパイルし、バックトラッキングエンジンがたどるのと同じ方法でそのオートマトンを探索します。深さ優先で、すべてのエッジを順番にたどり、行き止まりになったら記録せずに巻き戻しながら、ステップ数を数えます。攻撃文字列を構築し、2 つの長さで繰り返し、ステップ予算に対して測定します。そのため、検出結果は反証可能です。witness を実行して確かめてください。

パターンの 形状 に基づいて報告することはありません。形状は、どちらの方向でも予測材料として不十分です。^[a-z0-9]+(?:-[a-z0-9]+)*$ は危険そうに見えますが、各反復で内側の文字クラスが生成できない - を必ず消費するため、安全です。一方、(.*a){20} は上限があるように見えますが、安全ではありません。区切り文字によって分割が強制されるかどうかは文字列に関する事実なので、構文を調べるだけでは判定できません。

検出されないことは、安全の保証ではありません。 バックリファレンスや先読み・後読みなど、このツールで解釈できない構文を含むパターンは、安全とは判定されず、not decided: <reason> として返されます。

レポートには、入力サイズに対する実行時間に基づく大まかなパフォーマンススコアも含まれます。ベンチマークではなく、参考情報として扱ってください（メモリは測定されません）。

フォルダーまたはワークスペース全体を対象にする

Extract と Validate は、開いているドキュメントを読み取ります。どちらにも、ディスク上の複数のファイルを読み取って 1 つのレポートを出力する形式があります。

• ワークスペース全体：コマンドパレットから Regex-LE: Extract Patterns from Workspace または Regex-LE: Validate Patterns in Workspace を実行します。
• 1 つのフォルダー：エクスプローラーでフォルダーを右クリックし、Extract Patterns from Folder または Validate Patterns in Folder を選択します。コマンドパレットから同じ 2 つのコマンドを実行すると、フォルダーの選択を求められます。

Extract

プロジェクト内では同じパターンが複数の場所に記述されるため、レポートには重複を除いたパターンと、それぞれの記述場所が、使用箇所が多い順に表示されます。

# Regex-LE workspace report

`my-project` · 3 file(s) read · 3 distinct pattern(s) in 3 file(s)

| Pattern | Files |
|---|---|
| `/\d+/g` | 2 |
| `/\d+/` | 1 |
| `/^x$/` | 1 |

## `/\d+/g` (2)

- `src/a.ts` · **1:11**
- `src/b.ts` · **1:11**

## `/\d+/` (1)

- `src/c.py` · **2:5**

## `/^x$/` (1)

- `src/a.ts` · **2:11**

テキストとフラグが同じ場合、2 つのパターンは同一とみなされます。そのため、/\d+/g と /\d+/ は別々に一覧表示されます。パターンは、各ファイル内で最初に記述された箇所について、ファイルごとに 1 回だけ数えられます。

Validate

レポートの冒頭には、確認が必要なものを含むファイルの表が表示され、その後に、停止する可能性のあるパターンが一覧表示されます。

# Regex-LE workspace report

`my-project` · 3 file(s) read · 5 pattern(s), 1 can hang, 1 not checked

| File | Patterns | Can hang | Not checked |
|---|---|---|---|
| `src/a.ts` | 2 | 1 | 0 |
| `src/b.py` | 2 | 0 | 1 |

> 1 other file(s) hold only patterns with no finding.

## `src/a.ts` (1)

- **2:14** · `/(a+)+$/` · can hang (high): exponential backtracking: 2000000 steps on 41 characters, against 229328 on 20 · complexity 0/100

停止する可能性ありとは、入力によってパターンにバックトラッキングが発生することが判明したという意味です。これは、ReDoS のスクリーニングで説明したものと同じ検査です。未チェックとは、バックリファレンスや先読み・後読みを使用しているため、パターンの安全性を検査で判定できなかったという意味です。これはパターンに対する判定ではなく、レポートにはその理由が示されます。

別の言語のエンジン向けに記述されたパターンも、拒否されずに読み取られます。Python の (?P<year>\d{4})、アトミックグループ、所有量指定子も、ほかのパターンと同様に検査されます。

一覧に表示されるのは、停止する可能性のあるパターンだけです。それ以外はファイルごとに数えられます。regex-le.workspace.scanIncludePassing を有効にすると、検出された内容とともにすべてのパターンが一覧表示されます。regex-le.workspace.scanProblemsEnabled を有効にすると、停止する可能性のあるパターンが問題パネルにも表示され、各項目をクリックして該当箇所に移動できます。

スキャン対象。 抽出機能が認識する 9 つの言語（JavaScript、TypeScript、Python、Rust、Go、Java、Ruby、PHP、C#）のソースファイルが対象です。それ以外のファイルでは、すべてのパターン表記を一度に検索するため、README 内のパスは 1 つのパスとして読み取られます。scanPatterns を指定すると、対象を拡張できます。ファイルはディスクから読み取られるため、保存されていない編集内容は反映されません。安全上のサイズ制限を超えるファイルや、UTF-8 テキストではないファイルは読み取り対象外になります。最大 5,000 ファイル、または一覧表示されるパターン数が 10,000 件に達すると処理を停止します。レポートの末尾には、対象外にした項目がそれぞれ 1 行ずつ記載されるため、短いレポートをプロジェクトに問題がない証拠と誤解することはありません。

スキップされる対象と変更方法。 既定では 3 つのスイッチがオンになっています。Settings でそれぞれ個別にオフにできます。

スイッチをオフにせずに結果を調整するリストが 2 つあります。さらに除外するには、パターンを scanExcludes に追加します。スイッチによってスキップされるものを読み取るには、scanAlwaysInclude に追加します。

{
	// Also skip the test fixtures.
	"regex-le.workspace.scanExcludes": ["**/fixtures/**"],
	// Read the vendored code, though the built-in list skips it.
	"regex-le.workspace.scanAlwaysInclude": ["**/vendor/**"]
}

Regex-LE: Open Settings を開くと、これらすべてが設定エディターに表示されます。

スキャンの動作を決める設定は、Settings にあります。位置設定は、単一ファイルのコマンドと同様に適用されます。

CLI

同じリンターをターミナルまたはシェルパイプラインから実行できます。Rust CLI は crate/ にあり、拡張機能と同じコーパス crate/fixtures/ を共有しているため、両者が同じ ドキュメントを異なる方法で読み取ることはありません。同じコマンドラインは npm からも regex-le として提供されており、Rust がなく Node がある マシンでも使えます。また、CI では 3 つのオペレーティングシステムで クレートとバイト単位で一致することを確認しています。

regex-le .                      # every vulnerable pattern; JSON on stdout when piped
regex-le --severity high src/   # only the exponential shapes
regex-le --all src/             # every pattern, vulnerable or not
regex-le mcp                    # the same lint over MCP on stdio

npm（regex-le）または crates.io（regex-le）からインストールできます。どちらも同じ regex-le コマンドをインストールします。

npm install -g regex-le   # or run it once: npx regex-le
cargo install regex-le

終了コード：脆弱性がない場合は 0、検出結果が 1 つ以上ある場合は 1、質問の形式が不正な場合は 2 です。そのため、regex-le . || exit 1 を CI のゲートとして使えます。

移植されているのはリンター部分であり、テスターではありません。 JavaScript のセマンティクスでパターンをテキストに対して実行するには JavaScript エンジンが必要です。また、ほぼ同じ動作を実現するだけでは、同じパターンに対して 2 つのフロントエンドが異なる一致結果を報告することになりかねません。テストはエディターで行う作業なので、ここで行ってください。リンターにはエンジンが一切必要ありません。ReDoS の判定では、パターンテキストから構築したオートマトンをステップ予算内でたどります。そのため、低コストで決定論的な CI ステップとして実行できます。

この拡張機能でのスクリーニングとまったく同じように、実証できる内容を報告し、読み取れないものは拒否します。

コマンド

既定では、どのコマンドにもキーは割り当てられていません。エディターの キーボードショートカット で、任意のコマンドにキーを割り当ててください。

設定

言語

英語以外の 12 言語：

ドイツ語 · スペイン語 · フランス語 · インドネシア語 · イタリア語 · 日本語 · 韓国語 · ポルトガル語（ブラジル） · ロシア語 · ウクライナ語 · ベトナム語 · 中国語（簡体字）

両方の部分に対応しています。マニフェスト（コマンドタイトル、設定名と説明）と、 拡張機能の実行中に表示されるすべてのもの（通知、ステータスバー、クイックピック、 プロンプト）です。拡張機能は VS Code の表示言語に従うため、エディターに すでに設定されている言語に合わせて表示されます。独自の設定はありません。

プライバシーとセキュリティ

• ネットワークアクセスはありません。 この拡張機能はデータをどこにも送信しません。telemetryEnabled 設定では、確認可能なローカルの出力チャンネル（Regex-LE Telemetry）にイベントを書き込むだけです。
• ReDoS 画面で重大度が高いと判定されたパターンをテストする際は、事前に確認を求めます。
• MCP サーバーも同じ方針を守ります。 引数としてコンテンツを受け取り、データを返します。ファイルシステムへのアクセス、ネットワーク呼び出し、テレメトリーはありません。エージェントにはすでにファイル読み取りツールがあるため、サーバー内で重複させても、機能が増えないままパストラバーサルの攻撃対象が増えるだけです。サーバーがいずれかに到達しうるものをインポートすると、check:mcp-bundle がビルドを失敗させます。
• エラー通知では、ホームディレクトリと認証情報のような形式の文字列を伏せます。
• 評価の案内は最大2回だけです。 3回目の正常な使用時に、評価していただけるかどうかを一度尋ねます。後でを選んだ場合、または案内を閉じた場合は、20回目にもう一度だけ尋ねます。今後表示しないを選ぶと、案内は終了します。notificationsLevel をご自身で important または silent に設定すると、案内は無効になります。回数は VS Code の拡張機能ストレージに保存され、データがどこかに送信されることはありません。評価するを選ぶと、インストール元（VS Code Marketplace または Open VSX）の掲載ページがブラウザーで開きます。

ドキュメント

パフォーマンス

ウォームアップ後に7回実行した際の中央値です。Apple M5 Pro、RAM 24 GB、Node 24.3.0 で測定しました。入力はチェックインされているのではなく、scripts/benchmark.ts によって生成されるため、上記のサイズは実際に測定された値です。bun run benchmark で再現できます。

これらの値はマシン固有であり、CI ではアサートされません。ビルドを左右するベンチマークでは、ランナーがどれほどビジーだったかしかわかりません。

テスト

28ファイルにわたる401件のテストケースに加え、実際の VS Code 拡張機能ホストで実行する統合テストスイートと、ビルド済みの .vsix をクリーンなプロファイルにインストールするエンドツーエンドテストがあります。

実際の実行結果である coverage/coverage-summary.json と coverage/test-results.json から scripts/coverage-readme.js が生成します。このセクションに差異があると CI は失敗します。bun run test:coverage で再現できます。ケース数は vitest が出力する値です。

LE ファミリーのその他のツール

あらゆるモデルが直面する作業に対応する、単機能ツールが16個あります。それぞれに Rust CLI と MCP サーバーが付属します。詳細はこちら：letools.dev

取り出す

• String-LE — コードベース内のすべての文字列を抽出し、人が読めるようにします
• Numbers-LE — コードベース内のすべてのハードコードされた数値を抽出し、人が確認できるようにします
• Units-LE — 単位付きの数量をすべて抽出して正規化し、曖昧なものは名前を示して対象外にします
• Dates-LE — すべての日付とタイムスタンプ、およびそれぞれが解決される正確な時点を抽出します
• IDs-LE — UUID、ULID、NanoID、ObjectId、Snowflakeをすべて抽出し、内部に含まれる時刻をデコードします
• IPs-LE — IPアドレス、CIDRブロック、MACアドレスをすべて抽出し、正規化してスコープ別に分類します
• URLs-LE — コードベース内のすべてのURLを、プロトコルと正確な位置情報とともに抽出します
• Paths-LE — コードベース内のすべてのファイルパスを抽出し、現在も何かを指しているかどうかを示します
• Colors-LE — コードベース内のすべての色を抽出し、パレットにない色を示します

チェックする

• Regex-LE — コードベース内のすべての正規表現を検出し、壊滅的なバックトラッキングを引き起こす可能性があるものを報告します
• Versions-LE — リポジトリ内のマニフェスト間で、同じ依存関係のバージョン制約が異なる箇所を検出します
• i18n-LE — プロジェクトで使用している i18n ライブラリを特定し、そのライブラリのルールに基づいてカタログを監査します
• Scrape-LE — スクレイパーを書く前にページをスクレイピングできるか確認し、判定できない場合はその旨を示します

保護する

• Secrets-LE — コードベース内のハードコードされた認証情報を検出し、レポートに表示することはありません
• EnvSync-LE — ディレクトリツリー内の dotenv ファイルを比較し、どのファイルにどのキーがないかを示します
• Unicode-LE — 意味を隠す Unicode を検出します。双方向制御文字、不可視文字、ホモグリフ、混在スクリプトが対象です

それぞれが独立しています。共有クレートも、公開されたコアもありません。2つのツールが同じ答えにたどり着くとすれば、それはその答えが2度正しかったからです。

お問い合わせ — nolindnaidoo.com · GitHub · LinkedIn

nolindnaidoo によるその他のプロジェクト

Rust — pixelcoords と pixelactions は一連のループを構成します。pixelcoords が 場所 に答え、pixelactions がそこで 操作 します。それぞれ独自のツールと独自の方針を持ち、LE ファミリーには属しません。

• pixelcoords — 画面を固定し、領域を指定して、ピクセル単位で正確な座標と切り抜きを取得します pixelcoords.dev · crates.io · docs.rs
• pixelactions — 人が検証した座標を受け取り、操作を実行して、反映されたことを確認します pixelactions.dev · crates.io · docs.rs

ライセンス

MIT © nolindnaidoo