使用 Regular Expression 驗證密碼複雜度

以前我都沒想過可以用 Regular Expressions 驗證複雜格式的密碼，原來可以用 Regular Expression 中的群組建構式達成這個目的，例如說密碼的條件是這樣：

1. 至少有一個數字
2. 至少有一個小寫英文字母
3. 至少有一個大寫英文字母
4. 字串長度在 6 ~ 30 個字母之間

那麼你的 Regular Expression 可以長這樣：

^(?=.*\d)(?=.*[a-z])(?=.*[A-Z]).{6,30}$

在這段 Regular Expression 的語法中值得注意的就是 (?=.*\d) 這段語法，這段於法又稱做「右合樣 (Positive Lookahead)」，右合樣（或左合樣）語法所佔用的寬度為 0，也就是說這段語法本真不會佔用比對的字元，僅僅只是 Regular Expression 中的一種「判斷式」而已，右合樣 (Positive Lookahead)會判斷右邊緊接著的字元是否符合比對條件，如果符合條件才會繼續比對下去。

所以剛剛這段於法的解釋大致可以這樣說明：

(?=.*\d) 與 (?=.*[a-z]) 與 (?=.*[A-Z]) 寬度都會是零，所以整個字串比對會以 .{6,30} 為主，但比對之前會分別比對 (?=.*\d) 與 (?=.*[a-z]) 與 (?=.*[A-Z]) 這三個判斷式，都判斷成功才會進行 .{6,30} 的比對。所以 (?=.*\d) 的 .*\d 就是說右邊的文字中一定要出現一個數字符號，(?=.*[a-z]) 的 .*[a-z] 就是說右邊的文字中一定要出現一個小寫字母，(?=.*[A-Z]) 的 .*[A-Z] 就是說右邊的文字中一定要出現一個大小字母，最後才會比對 .{6,30} 也就是說比對字串的長度必須在 6 ~ 30 個字的任意字元。

如果你的條件修改成：

1. 至少有一個數字
2. 至少有一個大寫或小寫英文字母
3. 至少有一個特殊符號
4. 字串長度在 6 ~ 30 個字母之間

那麼你的 Regular Expression 可以長這樣（以 C# 作範例）：

Regex regex = new Regex(@"^(?=.*\d)(?=.*[a-zA-Z])(?=.*\W).{6,30}$");

這樣一來你知道如何融會貫通了嗎？^_^

相關連結

• 整理一些 Regex 的學習資源
• 非回溯的向右合樣和向左合樣
• 群組建構