Regex Safety Audit

regex-safety-audit-mcp

一个 MCP 服务，可将正则表达式解析为真正手写的 AST，以检测灾难性回溯（ReDoS）风险—— 而且绝不会执行正则表达式本身。 如果 ReDoS 扫描器运行自己正在扫描的正则表达式，就可能把自己卡住；而这个工具绝不会对任何内容调用 new RegExp(...).test()。

它能检测什么

嵌套的无界量词（(a+)+）、重复组内含糊不清的分支（(a|ab)+）以及反向引用——这三种模式几乎是所有真实 ReDoS 事件的根源。检测采用结构分析（真正的解析器，而不是针对正则表达式的字符串启发式），并在测试期间通过经典文献中的示例进行了验证。

JavaScript 特有的陷阱

通用的 ReDoS 建议会告诉你用原子组包住问题组，或使用占有量词。JavaScript 两者都不支持。 analyze_redos_risk 会明确说明这一点，而 suggest_safe_rewrite 会给出实际适用于 JavaScript 的修复方案（消除冗余嵌套，或使用否定字符类重新组织结构），而不是给出一旦尝试就会因语法错误而返回 400 的建议。

工具

analyze_redos_risk

完整的结构分析。返回风险等级、每项发现及其确切原因，并说明 JavaScript 不支持原子组和占有量词这一注意事项。

generate_attack_string

针对标记出的模式，生成几种长度的候选概念验证输入，并附带一段可直接运行的 Node 代码片段，用于为匹配计时，且采用由操作系统强制执行的子进程超时——因此，测试真正具有灾难性回溯风险的正则表达式也不会卡住你自己的测试进程。

suggest_safe_rewrite

针对可机械修复的模式，提供具体的改写版本；对于无法机械修复的模式，则如实说明“没有机械修复方案，以下是需要手动修改的内容”。

使用方法

托管服务（推荐）： MCPize — 免费套餐，Pro 版每月 7 美元。

自行托管：

npm install
node server.js

小型工具套件的一部分

mcp-schema-audit-mcp, cron-schedule-audit-mcp, claude-cost-audit-mcp。

许可证

MIT