ツール紹介

• 2026年1月14日 • 更新: 2026年6月15日

エンジニアのための正規表現入門：メタ文字・グループ・先読み・ReDoS

Q: JavaScriptの match と exec の違いは？

String.prototype.match() は結果の配列を返します。g フラグ付きなら全マッチを返し、なしなら exec() と同じ動作になります。exec() は g フラグ使用時のループで便利で、lastIndex で最後のマッチ位置を記憶します。

Q: 正規表現で特殊文字をエスケープするには？

. + ? ( ) [ ] { } ^ $ | \ などの特殊文字は、リテラルとしてマッチさせるにはバックスラッシュでエスケープします。

Q: HTMLやJSONのパースに正規表現は使える？

基本的に使うべきではありません。HTMLやJSONは正規表現では正しく扱えない再帰構造を持ちます。HTMLには DOMParser、JSONには JSON.parse() など、専用のパーサーを使いましょう。正規表現は、パース済みのテキストフィールド内の単純なパターン抽出に向いています。

Q: y（sticky）フラグは何をする？

y フラグは lastIndex の位置からのみマッチを試みます。g と違い、マッチを探して文字列を進むことはせず、現在位置でマッチするか失敗するかのどちらかです。

正規表現の基本メタ文字から、キャプチャグループや先読み・後読み、非貪欲マッチ、そして致命的なバックトラッキング（ReDoS）を避ける方法まで、実例で解説します。

この記事に関連するツール

ブラウザ上ですぐに試せます。記事の内容を確認しながら使うと、作業の流れをつかみやすくなります。

正規表現テスター

正規表現とは？

正規表現（Regular Expression / Regex） は、文字列のパターンを定義する文字の並びです。特定の構造に一致するテキストの検索・抽出・置換・検証に使われます。JavaScript、Python、Java、Ruby、Go、Rust など、ほぼすべての言語と、grep や sed などのコマンドラインツールで利用できます。

エンジニアのための正規表現入門：メタ文字・グループ・先読み・ReDoS

正規表現を使うと、次のような問いに答えられます。

この文字列に有効なメールアドレスは含まれているか？
このHTMLからすべてのURLを抽出する
すべてのISO日付文字列を別の形式に置換する
この電話番号は特定のパターンに従っているか？

記法は最初は難解に見えますが、一貫したルールに従っています。構成要素を理解すれば、自信を持って読み書きできるようになります。

メタ文字：構成要素

メタ文字は、正規表現の中で特別な意味を持つ文字です。

文字にマッチする

記号	意味	例	マッチ例
`.`	改行以外の任意の1文字	`a.c`	”abc”, “aXc”, “a1c”
`\d`	数字（0-9）	`\d\d`	”42”, “00”
`\D`	数字以外	`\D+`	”abc”
`\w`	単語構成文字 `[a-zA-Z0-9_]`	`\w+`	”hello”, “user_1”
`\s`	空白（スペース・タブ・改行）	`a\sb`	”a b”
`\S`	空白以外	`\S+`	”hello”

アンカー

記号	意味
`^`	行／文字列の先頭
`$`	行／文字列の末尾
`\b`	単語境界

/^hello/.test('hello world')  // true  — "hello"で始まる
/^hello/.test('say hello')    // false — 先頭ではない
/\bcat\b/.test('cat')         // true
/\bcat\b/.test('catch')       // false — 単語境界ではない

量指定子（クオンティファイア）

記号	意味	貪欲？
`*`	0回以上	はい
`+`	1回以上	はい
`?`	0回または1回	はい
`{n}`	ちょうどn回	—
`{n,m}`	n回以上m回以下	はい
`*?` `+?` `??`	非貪欲版	いいえ

貪欲 vs 非貪欲：

const html = '<b>bold</b> and <i>italic</i>';

// 貪欲 — できるだけ長くマッチ
html.match(/<.+>/)[0]   // '<b>bold</b> and <i>italic</i>'

// 非貪欲 — できるだけ短くマッチ
html.match(/<.+?>/)[0]  // '<b>'

文字クラス

文字クラス [...] は、集合内のいずれか1文字にマッチします。

[aeiou]       — 母音のいずれか
[a-z]         — 小文字のいずれか
[A-Z0-9]      — 大文字または数字
[^aeiou]      — 母音「以外」（否定）

[...] の中の ^ は否定を意味します。[...] の外では先頭へのアンカーになります。

グループとキャプチャ

キャプチャグループ `(...)`

括弧はキャプチャグループを作り、マッチしたテキストを後で取り出せます。

const date = '2026-01-14';
const match = date.match(/(\d{4})-(\d{2})-(\d{2})/);
console.log(match[1]); // '2026' — 年
console.log(match[2]); // '01'   — 月
console.log(match[3]); // '14'   — 日

名前付きキャプチャグループ `(?<name>...)`

名前を付けると自己説明的になります。

const m = '2026-01-14'.match(/(?<year>\d{4})-(?<month>\d{2})-(?<day>\d{2})/);
console.log(m.groups.year);  // '2026'
console.log(m.groups.month); // '01'

非キャプチャグループ `(?:...)`

選択や量指定子のためにグループ化したいが、キャプチャは不要な場合に使います。

/colou?r/  // 'color' と 'colour' の両方にマッチ

選択（OR）`|`

パイプ | は選択肢のORとして働きます。

/(jpg|jpeg|png|gif)$/.test('photo.jpeg') // true

先読みと後読み（Lookaround）

Lookaround を使うと、別のパターンに前後されている（いない）場合だけマッチさせ、その部分自体はマッチに含めない、ということができます。

記法	名称	意味
`(?=...)`	肯定先読み	…が後ろに続く
`(?!...)`	否定先読み	…が後ろに続かない
`(?<=...)`	肯定後読み	…が前にある
`(?<!...)`	否定後読み	…が前にない

// 肯定先読み：" USD"が後ろに続く場合だけ "100" にマッチ
'100 USD'.match(/\d+(?= USD)/)[0]    // '100'
'100 EUR'.match(/\d+(?= USD)/)       // null

// 肯定後読み："$"が前にある数字にマッチ
'Price: $42'.match(/(?<=\$)\d+/)[0]  // '42'

実践的なパターン

メールアドレス（簡易版）

^[a-zA-Z0-9._%+\-]+@[a-zA-Z0-9.\-]+\.[a-zA-Z]{2,}$

注：RFC 5321に完全準拠したメール正規表現は非常に複雑です。フォーム入力の検証なら上記の簡易版で十分です。メールの有効性は最終的に確認メールの送信で担保しましょう。

ISO 8601 の日付（YYYY-MM-DD）

^\d{4}-(0[1-9]|1[0-2])-(0[1-9]|[12]\d|3[01])$

日本の郵便番号

^\d{3}-\d{4}$

IPv4 アドレス

^((25[0-5]|2[0-4]\d|[01]?\d\d?)\.){3}(25[0-5]|2[0-4]\d|[01]?\d\d?)$

フラグ（修飾子）

フラグ	意味
`g`	グローバル — 最初の1件だけでなく全件を検索
`i`	大文字小文字を区別しない
`m`	マルチライン — `^`/`$` が各行の先頭・末尾にマッチ
`s`	dotall — `.` が改行にもマッチ
`u`	Unicode — パターンと文字列をUnicodeとして扱う

'Hello WORLD'.match(/hello/i)[0] // 'Hello'
'a\nb\nc'.match(/^\w/gm)         // ['a', 'b', 'c']

ReDoS：致命的なバックトラッキング

ReDoS（正規表現によるサービス拒否攻撃） は、悪意を持って作られた入力により、正規表現が想定より指数関数的に長く実行されてしまう脆弱性です。

典型的な危険パターンは、入れ子になった量指定子です。

^(a+)+$     — "aaaaaaaaaaaaaaab" にマッチさせようとすると爆発的に遅くなる

正規表現エンジンは「マッチしない」と結論づける前に、a のあらゆるグループ化を試します。長さ n の文字列に対して O(2ⁿ) の時間がかかることがあります。

なぜ問題なのか

アプリがユーザー入力を正規表現に渡す場合、悪意あるユーザーは1つの巧妙な文字列でサーバーをハングさせたり、CPUを過剰消費させたりできます。

ReDoSを防ぐには

入れ子の量指定子を避ける： (a+)+、(a*)* などを書かない。
アトミックグループや絶対最大量指定子を、エンジンが対応していれば使う。
タイムアウトを設定する： 信頼できない入力に対して実行時間を制限する。
長い入力でテストする： マッチしないはずの長さ20〜50の文字列で試す。
静的解析ツールを使う： safe-regex（npm）などで危険なパターンを検出する。

// 危険
/^(a+)+$/.test('aaaaaaaaaaaaaaab'); // ハングする可能性

// 安全な代替 — 入れ子の量指定子なし
/^a+$/.test('aaaaaaaaaaaaaaab');    // 高速

DevToolKitsでテストする

頭の中で考えた正規表現が正しく動くか確認するのは大変です。正規表現テストツール を使えば、入力テキストに対してマッチ箇所をリアルタイムでハイライトし、キャプチャグループの内容を一覧表示し、フラグ（g, i, m）の切り替えによる挙動の変化を確認できます。

よくある質問

JavaScriptの `match` と `exec` の違いは？

String.prototype.match() は結果の配列を返します。g フラグ付きなら全マッチを返し、なしなら exec() と同じ動作になります。exec() は g フラグ使用時のループで便利で、lastIndex で最後のマッチ位置を記憶します。

正規表現で特殊文字をエスケープするには？

. * + ? ( ) [ ] { } ^ $ | \ などの特殊文字は、リテラルとしてマッチさせるにはバックスラッシュでエスケープします。

function escapeRegex(str) {
  return str.replace(/[.*+?^${}()|[\]\\]/g, '\\$&');
}

HTMLやJSONのパースに正規表現は使える？

基本的に使うべきではありません。HTMLやJSONは正規表現では正しく扱えない再帰構造を持ちます。HTMLには DOMParser、JSONには JSON.parse() など、専用のパーサーを使いましょう。正規表現は、パース済みのテキストフィールド内の単純なパターン抽出に向いています。

`y`（sticky）フラグは何をする？

y フラグは lastIndex の位置からのみマッチを試みます。g と違い、マッチを探して文字列を進むことはせず、現在位置でマッチするか失敗するかのどちらかです。

この記事に関連するツール

正規表現とは？

メタ文字：構成要素

文字にマッチする

アンカー

量指定子（クオンティファイア）

文字クラス

グループとキャプチャ

キャプチャグループ (...)

名前付きキャプチャグループ (?<name>...)

非キャプチャグループ (?:...)

選択（OR）|

先読みと後読み（Lookaround）

実践的なパターン

メールアドレス（簡易版）

ISO 8601 の日付（YYYY-MM-DD）

日本の郵便番号

IPv4 アドレス

フラグ（修飾子）

ReDoS：致命的なバックトラッキング

なぜ問題なのか

ReDoSを防ぐには

DevToolKitsでテストする

よくある質問

JavaScriptの match と exec の違いは？

正規表現で特殊文字をエスケープするには？

HTMLやJSONのパースに正規表現は使える？

y（sticky）フラグは何をする？

おすすめリソース

あわせて読みたい記事

実務で使う正規表現レシピ集：コピペで使える検索・置換パターン

文字数カウントとテキスト変換の使い方：HTMLエスケープや空白整理をまとめて確認

SQLフォーマッターでクエリを読みやすく整形する方法

最新記事

テーブル設計からCREATE TABLE文を自動生成する仕組み｜DDLビルダー

GitHub Actions needs設計パターン集｜CIを速くする依存関係の組み方とアンチパターン

SQL JOIN完全リファレンス｜INNER・LEFT・RIGHT・FULLの違いと結果行数の考え方

Case Converter ― camelCase・snake_case・kebab-caseを9種類まとめて一括変換

LLM APIコスト計算機 ― Claude・GPT・Geminiの料金を同じ条件で見積もり比較

MermaidのER図（erDiagram）記法リファレンス｜リレーション記号一覧と実例