Regex Safety Audit

io.github.tylerscomic-lab由 GitHub 账号 tylerscomic-lab 发布v1.0.0更新于 Oct 24, 2026

Detects catastrophic-backtracking (ReDoS) regex risk via AST parsing, with JS-safe rewrites.

发布方自己的服务：audit.domains - Domain Valuation

已验证Streamable HTTP可网页运行开发者工具安全与监控

服务详情

标识符: io.github.tylerscomic-lab/regex-safety-audit-mcp
传输: Streamable HTTP
运行时: Web executable
信任: Verified
发布于: Sep 16, 2026

安全提示

MCP 服务会接收对话中的工具调用请求，并可能执行外部操作。启用前请先了解该服务能做什么，并只授予它所需的权限。

注册中心已验证此条目所属的 GitHub 账号 tylerscomic-lab。这并不表明该账号就是产品方。

SourceWeft 的检查只涵盖条目是否完整、端点是否响应；不审查服务器的代码，也不审查其工具的行为。

在 README 中添加徽章

向读者展示该 MCP 服务已收录于 SourceWeft，徽章链接到本页。

[![Listed on SourceWeft](https://sourceweft.com/badge/mcp/io.github.tylerscomic-lab%2Fregex-safety-audit-mcp.svg)](https://sourceweft.com/mcp/io.github.tylerscomic-lab%2Fregex-safety-audit-mcp?utm_source=readme&utm_medium=badge)

概览

AI 生成的概览

通过 AST 解析审计正则表达式的灾难性回溯（ReDoS）风险，并给出 JavaScript 安全的改写建议。

可以做什么: 将正则表达式解析为手写 AST，在不执行模式本身的情况下检测灾难性回溯（ReDoS）风险。可识别嵌套无界量词、重复组内的歧义选择以及反向引用。analyze_redos_risk 返回风险等级、带原因的各项发现以及 JavaScript 相关注意事项；generate_attack_string 生成候选概念验证输入和带硬性子进程超时的 Node 代码片段；suggest_safe_rewrite 给出具体的 JS 安全改写，或在无法机械修复时如实说明。
适用场景: 适合在审查或加固 JavaScript 代码中的正则表达式时使用，尤其是希望进行结构化 ReDoS 检测而非字符串启发式判断的场景。适用于安全审查、代码审计以及需要为被标记的模式提供安全改写或有界概念验证测试的流程。若只需测试模式是否匹配，则不太适用。
运行要求: 远程 streamable HTTP 端点 OAuth 身份验证。未声明任何软件包、环境变量或请求头。README 说明也可通过 npm install 和 node server.js 自托管，这需要 Node.js。

安装前请注意

托管端点需要 OAuth 身份验证。README 提到有免费额度以及每月 7 美元的 Pro 方案，可能涉及付费使用。generate_attack_string 会生成概念验证输入和一段 Node 代码片段，供在本地运行；针对真正灾难性的模式运行正是硬性子进程超时所要控制的场景，因此请谨慎对待生成的代码片段。未声明任何密钥或环境变量。

安装

在 SourceWeft 中

打开控制台中的 Regex Safety Audit，将其添加到工作区。
连接所需的凭据。它们会被私密存储，绝不会在公开页面上展示。
为需要使用其工具的对话启用该服务。

Web executable，通过 Streamable HTTP。远程服务在工作区中配置后即可从网页运行时运行。

交给智能体安装

把这段提示词粘贴到 Claude Code、Codex、Cursor 等智能体，或 SourceWeft 对话中。智能体会读取该服务器的安装指南，先向你展示发布者、端点和登录方式，经你同意后再把它添加到你的客户端。密钥不会写进任何命令。

阅读 https://sourceweft.com/mcp/io.github.tylerscomic-lab%2Fregex-safety-audit-mcp/install.md，并按其中说明把这个 MCP 服务器接入我的客户端。修改任何配置之前，先告诉我它的发布者、端点和登录方式，等我确认。不要把 API 密钥写进命令或我会提交的文件；问我密钥应从哪里获取。

查看智能体所依据的安装指南

其他 MCP 客户端

把它添加到你客户端的 mcpServers 配置中。客户端会在首次连接时完成 OAuth 登录。

{
  "mcpServers": {
    "regex-safety-audit": {
      "type": "http",
      "url": "https://regex-safety-audit-mcp.mcpize.run/mcp"
    }
  }
}

README

regex-safety-audit-mcp

[License: MIT] [Live on MCPize]

An MCP server that parses a regex into a real hand-written AST to detect catastrophic-backtracking (ReDoS) risk — without ever executing the pattern itself. A ReDoS scanner that runs the regex it's scanning would be able to hang itself; this one never calls new RegExp(...).test() on anything.

What it catches

Nested unbounded quantifiers ((a+)+), ambiguous alternation inside a repeated group ((a|ab)+), and backreferences — the three shapes behind almost every real-world ReDoS incident. Detection is structural (a real parser, not regex-on-regex string heuristics), verified against the canonical literature examples during testing.

The JS-specific trap

Generic ReDoS advice tells you to wrap the offending group in an atomic group or use a possessive quantifier. JavaScript has neither. analyze_redos_risk says so explicitly, and suggest_safe_rewrite gives the actual JS-safe fix (collapsing redundant nesting, or restructuring with a negated character class) instead of advice that would 400 as a syntax error if you tried it.

Tools

`analyze_redos_risk`

Full structural analysis. Returns a risk level, every finding with its exact reason, and the JS atomic-group/ possessive-quantifier caveat.

`generate_attack_string`

For a flagged pattern, generates candidate proof-of-concept inputs at a few sizes, plus a ready-to-run Node snippet that times the match with a hard OS-level subprocess timeout — so testing a genuinely catastrophic regex can't hang your own test process either.