mysql触发器中regexp单独使用无法拦截非法字符，必须配合signal才能中断操作；需处理null、空格、版本兼容性及性能问题，并优先在应用层做校验。
MySQL触发器里用 REGEXP 匹配非法字符，不配合 SIGNAL 就等于没校验——数据照进不误，正则只是个摆设。
为什么 REGEXP 单独写在触发器里拦不住非法字符
触发器中 REGEXP 是纯判断函数，返回 TRUE 或 FALSE，MySQL 不会因它返回 FALSE 就自动中断语句。常见错误写法：IF NEW.username REGEXP '['"\]' 然后啥也不做，或者只写 SELECT '危险字符' —— 这些都不影响插入。
- 必须显式调用
SIGNAL SQLSTATE '45000'才能中止当前 INSERT/UPDATE -
REGEXP在 MySQL 8.0.4+ 才支持完整语法（如^、$、d），低版本会静默失效 - 若字段值为
NULL，REGEXP返回NULL（非FALSE），直接导致条件跳过，需用IS NOT NULL显式兜底
怎么写一个真正生效的非法字符拦截触发器
核心是：先排除空值和 NULL，再用锚定正则匹配全字段，最后用 SIGNAL 抛错。比如禁止用户名含 HTML 标签、引号、反斜杠：
MySQL（Linux）
下载
MySQL 9.6.0是面向Linux平台的2026年创新版本，核心架构迎来重大革新。其将外键约束与级联操作从InnoDB引擎层上移至SQL层，确保所有数据变更均被完整记录至Binlog，彻底解决了CDC（变更数据捕获）与主从复制中的数据不一致难题。此外，该版本引入container_aware启动选项以原生适配容器环境，并对审计日志进行了组件化重构，为追求极致数据一致性与云原生体验的开发者提供了全新选择。
DELIMITER $$
CREATE TRIGGER prevent_dangerous_chars BEFORE INSERT ON users
FOR EACH ROW
BEGIN
IF NEW.username IS NOT NULL
AND TRIM(NEW.username) != ''
AND NEW.username REGEXP '['"\\]'
THEN
SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = '用户名包含非法字符： ' " \';
END IF;
END$$
DELIMITER ;
- 用
TRIM()防止空格绕过检查（如" <script>"</script>） - 反斜杠要写成
\\：MySQL 字符串解析一层，正则引擎再解析一层 - 单引号在字符串里需转义为
'，否则触发器创建失败 - 不要用
RLIKE替代REGEXP——二者行为一致，但REGEXP更通用
容易被忽略的兼容性与性能坑
你写的正则在校验层看似正确，上线后可能在批量导入或老版本库上崩掉。
- MySQL 5.7 不支持
SIGNAL，强行使用会报语法错误；若必须兼容，只能用INSERT INTO nonexistent_table VALUES(1)触发错误，但错误信息不可读、不推荐 - 正则匹配无法走索引，每行都做全字段扫描；10 万行
INSERT ... SELECT可能多耗 2–3 秒，高频写入场景应前置到应用层 - 大小写敏感需加
BINARY：如BINARY NEW.content REGEXP '<script>'</script>，否则默认 collation 下<script></script>会被放过 -
MESSAGE_TEXT超过 128 字符会被截断，关键字段名（如username）务必放在开头
更稳妥的替代方案：别只靠触发器
触发器不是防注入的银弹。它拦不住拼接进 SQL 的恶意字符串（因为那时已解析为合法值），也看不到 HTTP 头、JWT 或业务上下文。
- 前端输入必须过滤 + 后端参数化查询（
?占位符）是第一道防线 - 敏感字段（如
bio、comment）建议在应用层用白名单清洗（如只保留字母、数字、常见标点） - 若必须 DB 层兜底，可把正则校验拆成两步：先用
CHAR_LENGTH和LOCATE快速筛掉明显异常长度，再用REGEXP做精细匹配 - 所有触发器上线前，必须用
SELECT 'admin<script>' REGEXP '[<>'"\\]';</script>单独验证正则逻辑，别等 INSERT 时才发现写错了
最常被漏掉的一点：触发器对 LOAD DATA INFILE 和 INSERT ... SELECT 同样逐行执行——你以为只校验 API 写入，其实后台定时任务也在被拖慢。
