보안 때문에 new RegExp를 re2 라이브러리로 변경하려고 합니다.

Question

타입스크립트로 프론트앤드 앱을 만들었습니다.lint에서 기존 코딩해놓은 const re &#61; new RegExp(&#34;regexp&#34;, &#34;g&#34;); 이렇게 코딩해놓은 라인마다 계속해서 경고를 주고 있습니다.모범 예제로 re2 라이브러리르 설치해서, https://www.npmjs.com/package/re2import re2 from &#34;re2&#34;;const re &#61; new re2(&#34;regexp&#34;, &#34;g&#34;);이렇게 쓰면 대체할수 있는것으로 보이는데요.문제는 프론트앤드다 보니 dist로 만들기위해서 웹팩으로 빌드하면 에러가 발생합니다.ERROR in ./node_modules/re2/build/Release/re2.nodeModule parse failed: Unexpected character '&#xfffd;' (1:0)You may need an appropriate loader to handle this file type.node-loader나 raw-loader를 이용해서 웹팩 세팅하라는 글도 있어서 여러 차례 시도 해봤는데 작동되지 않습니다.구글링해본결과, 이 프로젝트는 Node 전용이고, 브라우저에서는 작동하지 않는다. 클라이언트 측의 경우, 정규 표현식이 서버 측으로 전달되지 않는 한 ReDoS 위험은 전혀 중요하지 않는다. 이렇게 글이 있더라구요.https://github.com/uhop/node-re2/issues/63그냥 프론트앤드면 new RegExp로 계속 사용해도 될까요? 아니면 re2를 빌드하는 방법이나 다른 대안이 없을까요?계속 lint에 보안 위험으로 잡히는거 같아서 좀 불안하거든요. lint를 ignore 주석 해버려도 문제 없을까요?혹시 이런 경험 있으신 분 있으신지 여쭈어봅니다.

rarity · Accepted Answer

기본라이브러리 사용하시면 되구요, lint에서 경고를 하는 이유는 리터럴표기법과 생성자 방식에서의 차이입니다. 리터럴표기법은 정규식표현이 가변하지 않을때 사용하고 생성자는 정규식표현이 가변할때 사용합니다./ab&#43;c/i // 리터럴 new RegExp(/ab&#43;c/, 'i') // 리터럴 new RegExp('ab&#43;c', 'i') // 생성자 작성자분은 생성자 형태로 가변을 염두에 두고 선언하셨고 이는 클라이언트측에서 해당 정규식표현을 꼬아서 보내어 ReDoS할수 있는 상태이기 때문에 경고를 하는겁니다.const re &#61; new RegExp(&#34;regexp&#34;, &#34;g&#34;); // 생성자정규식표현을 유저에게 받을게 아니시고 유한하면서 불변하다면 사용하실 타입검사를 하나씩 리터럴 표기법으로 정의하셔서 사용하시는게 가장 보안에 좋습니다.

보안 때문에 new RegExp를 re2 라이브러리로 변경하려고 합니다.

1개의 답변

#regexp 목록