Regex Safety Audit

regex-safety-audit-mcp

正規表現を手書きの AST に解析して、壊滅的バックトラッキング（ReDoS）のリスクを検出する MCP サーバーです。 パターン自体を実行することはありません。 スキャン対象の正規表現を実行する ReDoS スキャナーは、自分自身をハングさせる可能性がありますが、このスキャナーはどのような対象に対しても new RegExp(...).test() を呼び出しません。

検出対象

ネストした上限のない量指定子（(a+)+）、繰り返しグループ内の曖昧な選択肢（(a|ab)+）、後方参照です。これらは、実際の ReDoS インシデントのほとんどすべての原因となる3つのパターンです。検出は構造に基づいており（正規表現に対する正規表現による文字列ヒューリスティックではなく、実際のパーサーを使用）、テスト時に標準的な文献の例と照合して検証しています。

JavaScript 固有の落とし穴

一般的な ReDoS 対策では、問題のグループをアトミックグループで囲むか、所有量指定子を使うよう勧められます。 JavaScript にはそのどちらもありません。 analyze_redos_risk はそのことを明示し、suggest_safe_rewrite は構文エラーで400になるようなアドバイスではなく、実際に JavaScript で使える修正方法（冗長なネストを取り除くか、否定文字クラスを使って構造を組み直す方法）を提示します。

ツール

analyze_redos_risk

構造を全面的に解析します。リスクレベル、理由を正確に示したすべての検出結果、JavaScript ではアトミックグループ／所有量指定子が使えないという注意点を返します。

generate_attack_string

問題ありと判定されたパターンに対して、いくつかのサイズの攻撃入力候補と、マッチ時間を計測するすぐに実行できる Node スニペットを生成します。OS レベルのサブプロセスのタイムアウトを確実に設定するため、本当に壊滅的な正規表現をテストしても、テストプロセス自体がハングすることはありません。

suggest_safe_rewrite

機械的に修正可能なパターンには具体的な書き換えを提示し、そうでないパターンには「機械的な修正方法はありません。手作業での変更方法はこちら」と正直に示します。

使用方法

ホステッド（推奨）： MCPize — 無料プラン、Pro は月額7ドルです。

セルフホスト：

npm install
node server.js

小規模なスイートの一部

mcp-schema-audit-mcp、 cron-schedule-audit-mcp、 claude-cost-audit-mcp。

ライセンス

MIT