Praxistipps und Fallstricke zur Validierung von Eingaben wie E-Mail, Telefon oder Postleitzahl mit regulären Ausdrücken.
Bei der Formularvalidierung eignen sich reguläre Ausdrücke gut für Eingaben mit regelmäßigem Format. Um zu prüfen, ob die gesamte Zeichenkette dem Format entspricht, müssen Sie die beiden Enden mit ^ und $ festhalten. Ohne Anker wird auch dann durchgelassen, wenn nur ein Teil der Zeichenkette passt, wodurch die Prüfung umgangen wird. Denselben regulären Ausdruck können Sie unverändert auch im HTML-Attribut input pattern verwenden.
Bei Werten mit fester Stellenzahl und festgelegten Zeichenarten wie Telefonnummer, Postleitzahl oder Benutzername genügen Zeichenklassen und Quantoren allein. Wenn Sie die Regel jedoch zu stark einengen, blockieren Sie gültige Varianten wie internationale Rufnummern, neue Postleitzahlensysteme oder das Vorhandensein bzw. Fehlen von Bindestrichen. Sehen Sie sich zuerst die Vielfalt der tatsächlichen Daten an.
Versuchen Sie nicht, E-Mail-Adressen per Regex vollständig zu validieren. Die offizielle Spezifikation (RFC 5322) ist zu komplex, um sie mit einem praxistauglichen regulären Ausdruck nachzubilden. Prüfen Sie locker nur, ob @ und ein Punkt enthalten sind, und validieren Sie die echte Gültigkeit standardmäßig durch den Versand einer Bestätigungs-E-Mail.
Die Regex-Validierung im Browser dient lediglich der Benutzerfreundlichkeit (UX) und ist nicht die letzte Verteidigungslinie. Validieren Sie unbedingt erneut auf dem Server und achten Sie bei nicht vertrauenswürdigen Eingaben auf katastrophales Backtracking (ReDoS) (siehe den Performance-Artikel in den Ressourcen).