lua下实现防注入的string.replace函数

问题

string.gsub是lua下用处非常多的字符串处理函数，其中一个很常见的功能就是做字符串替换，但如果要匹配的字符串是来自于系统外（如玩家的名字、公会名这种），那就要小心出现“注入”问题。

下面是一个简单的例子，我们需要把一段含有玩家名字的字符串中的玩家名字加上加粗标签。

local some_text = '沉睡的（包子)的神器'
local player_name = '沉睡的（包子)'
local final_text = string.gsub(some_text, player_name, '<b>' .. player_name .. '</b>')
-- 报错：invalid pattern capture

原因

原因是string.gsub并不是简单的字符串替换，而是会把第二个参数当成pattern来匹配，可以参考文档。而上面的例子中，玩家名字里的左括号其实是中文的左括号，而右括号是英文的右括号，而括号在正则表达式里是用于捕获的，所以才报了上面的错。

其实很多时候，我们只需要一个简单的字符串替换功能，并不需要用到正则表达式来匹配，但由于lua自身没有这样的功能，所以我们就自己实现一个简单的字符串替换函数吧。

解决方案

基本思路就是采用string.find[文档]，它的第四个参数可以指定不执行模式匹配，这正是我们需要的。

还有一点要注意，如果有多个成功匹配，string.gsub会把所有成功匹配都替换，而不仅仅只替换第一个，我们的函数也会实现这个功能。

-- 字符串替换【不执行模式匹配】
-- s       源字符串
-- pattern 匹配字符串
-- repl    替换字符串
--
-- 成功返回替换后的字符串，失败返回源字符串
string.replace = function(s, pattern, repl)
    local i,j = string.find(s, pattern, 1, true)
    if i and j then
        local ret = {}
        local start = 1
        while i and j do
            table.insert(ret, string.sub(s, start, i - 1))
            table.insert(ret, repl)
            start = j + 1
            i,j = string.find(s, pattern, start, true)
        end
        table.insert(ret, string.sub(s, start))
        return table.concat(ret)
    end
    return s
end