如何在 Go 正则表达式中安全转义动态字符串？

go 标准库提供 `regexp.quotemeta` 函数，可将任意字符串中的正则特殊字符（如 `.`, `*`, `+`, `?`, `^`, `$`, `(`, `)`, `[`, `]`, `{`, `}`, `|`, `\`）自动转义为字面量，确保动态插入的字符串不破坏正则逻辑。

在 Go 中构建动态正则表达式时，若需将用户输入或运行时变量（如 {{string}}）安全嵌入模式中，绝不能直接拼接——否则像 user.name、v1.2-test 这类含 .、-、* 的字符串会意外改变正则语义（例如 . 匹配任意字符，- 在字符类中表示范围）。Go 没有类似 PHP 的 preg_quote，但标准库 regexp 包中的 regexp.QuoteMeta 正是为此设计：它对字符串中所有具有正则元含义的字符添加反斜杠转义，使其严格按字面意义匹配。

✅ 正确用法示例：

package main

import (
    "fmt"
    "regexp"
)

func main() {
    dynamicStr := "user.name-v2.0" // 含 . 和 -
    escaped := regexp.QuoteMeta(dynamicStr)
    // escaped == "user\.name\-v2\.0"

    pattern := fmt.Sprintf(`^(@|\\s)*%s:?`, escaped)
    // 生成: ^(@|\s)*user\.name\-v2\.0:?

    re, err := regexp.Compile(pattern)
    if err != nil {
        panic(err)
    }

    fmt.Println(re.MatchString("@user.name-v2.0:")) // true
    fmt.Println(re.MatchString("@userXname-v2.0:")) // false —— . 不再通配
}

⚠️ 注意事项：

• QuoteMeta 仅转义元字符，不处理空格或换行符；若需匹配实际空白符（如 \s），请确保原始字符串已按需规范化；
• 转义后字符串不可读性增强，调试时建议打印 pattern 验证结果；
• 若动态部分本身需参与正则逻辑（如作为捕获组名），则不应使用 QuoteMeta，而应通过更高级的模板或 AST 构建方式处理；
• QuoteMeta 不处理 Unicode 属性或 \p{} 类语法，仅作用于 ASCII 元字符。

总结：regexp.QuoteMeta 是 Go 中实现「安全字符串插值」的唯一标准方案。只要目标是让任意字符串成为正则中的纯字面量，就应在拼接前调用它——这是防御正则注入（Regex Injection）的关键实践。