サービス拒否の懸念
正規表現に関する最も一般的な懸念は、指数関数的、または超指数関数的になる病理学的パターンによるサービス拒否攻撃です。—そして、解決するのに永遠にかかるようです。これらは特定の入力データでのみ表示される場合がありますが、一般的にはこれを問題としないデータを作成できます。
これらのどれがコンパイル時に検出される可能性があるため、これらがどれであるかは、使用している正規表現コンパイラがどれほど賢いかに依存します。再帰を実装するRegexコンパイラには通常、非進行をチェックするための組み込みの再帰深さカウンタがあります。
正規表現マッチングに関するRuss Coxの優れた2007年の論文は、単純で高速である可能性があります（ただし、Java、Perl、PHP、Python、Rubyなどでは遅い）は、ほとんどすべての最新のNFAがHenry Spencerのコードから派生しているように見える方法について述べています、パフォーマンスが大幅に低下しますが、トンプソンスタイルのNFAにはそのような問題はありません。
DFAで解決できるパターンのみを認める場合は、そのようにしてそれらをコンパイルすることができ、パターンはより高速に、場合によってはより高速に実行されます。ただし、これには時間がかかります。コックス紙はこのアプローチとそれに付随する問題について言及しています。それはすべて、古典的な時間と空間のトレードオフに帰着します。
DFAを使用すると、DFAの作成（およびより多くの状態の割り当て）に多くの時間を費やしますが、NFAを使用すると、DFAを同時に複数の状態にすることができるため、実行に多くの時間を費やします。
サービス拒否ソリューション
おそらく、宇宙の熱死でレースの敗北にあるこれらのパターンに対処する最も合理的な方法は、実行に許可される最大時間を効果的に配置するタイマーでそれらをラップすることです。通常、これはほとんどのHTTPサーバーが提供するデフォルトのタイムアウトよりもはるかに小さくなります。
これらの実装にはさまざまな方法がありalarm(N)、Cレベルでの単純なものから、何らかの種類のtry {}ブロックによるアラームタイプの例外のキャッチまで、タイミング制約が組み込まれた特別に作成された新しいスレッドを生成するすべての方法があります。
コードコールアウト
コードコールアウトを許可する正規表現言語では、コンパイルする文字列に対してこれらを許可または禁止するためのメカニズムを提供する必要があります。コードコールアウトが使用している言語のコードのみである場合でも、それらを制限する必要があります。外部コードを呼び出すことができる必要はありませんが、可能であれば、はるかに大きな問題が発生します。
たとえば、Perl use re "eval";では、現在のスコープでアクティブな特別な字句スコーププラグマがない限り、文字列補間から作成された正規表現にコードコールアウトを含めることはできません（実行時にコンパイルされるため）。
このようrm -rf *にして、たとえばのようなシステムプログラムを実行するためのコードコールアウトに誰も忍び込むことはできません。コードコールアウトはセキュリティに非常に敏感であるため、Perlはすべての補間された文字列でデフォルトでそれらを無効にし、それらを再度有効にするために邪魔をする必要があります。
ユーザー定義の\ P {roperties}
以下のような-そこのUnicodeスタイルのプロパティに関連する1つ以上のセキュリティに敏感な問題が残っている\pM、\p{Pd}、\p{Pattern_Syntax}、または\p{Script=Greek}その- もサポートしていることを表記することを、いくつかの正規表現のコンパイラに存在します。
問題は、これらのいくつかでは、可能なプロパティのセットがユーザー拡張可能であることです。あなたには、いくつかの特定のnamepaceで名前の関数に実際のコードのコールアウトされているカスタムプロパティを持つことができる手段、のようなもの\p{GoodChars}か\p{Class::Good_Characters}。あなたの言語がそれらをどのように扱うかは、一見の価値があるかもしれません。
サンドボックス化
Perlでは、Safeモジュールを介してサンドボックス化されたコンパートメントにより、名前空間の可視性を制御できます。他の言語も同様のサンドボックステクノロジーを提供しています。そのようなデバイスが利用可能な場合は、信頼できないコードの実行を制限するように特別に設計されているため、それらを調べることをお勧めします。