url重写本质是用正则匹配并替换请求路径，需专注path部分、剥离query和fragment、避免贪婪匹配、校验捕获内容安全、按从具体到宽泛排序规则。
URL 重写本质是用正则匹配请求路径，再按规则替换为真实资源路径。关键不在“重写”动作本身，而在如何设计安全、可维护的匹配与替换逻辑。
明确匹配目标：只捕获路径部分
HTTP 请求中真正需要重写的只是 path（如 /blog/2024/05/my-post），不包含协议、域名、查询参数。多数 Web 服务器（Nginx、Apache）或框架（Express、Flask）都提供对 path 的独立正则支持。务必先剥离 query string（?id=123）和 fragment（#section），否则容易误匹配。
- Nginx 示例：
location ~ ^/article/(\d+)$ { rewrite ^/article/(\d+)$ /post.php?id=$1 last; }——^/article/(\d+)$只匹配路径，不碰 query - Node.js Express：
app.get(/^\/user\/([a-z0-9]+)/, (req, res) => { ... })—— 正则直接作用于 req.path
避免贪婪匹配：用非贪婪或锚定边界
常见错误是写 /user/.+ 匹配所有以 /user/ 开头的路径，结果把 /user/login 和 /user/profile/edit 全塞进同一规则，难以区分处理。应显式定义终止符或使用非贪婪量词。
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 推荐写法：
^/user/([a-zA-Z0-9_]{3,20})$—— 锚定开头结尾，限制用户名格式和长度 - 若需支持可选后缀：
^/post/(\d+)(?:\.html)?$——(?:...)?是非捕获可选组，不影响 $1 引用 - 避免：
/user/.*或/post/.*—— 容易覆盖其他更具体的规则
安全替换：过滤捕获组内容
正则捕获的值（如 $1 或 req.params[0]）直接拼入文件路径或 SQL 查询极危险。必须校验合法性，不能仅靠正则“看起来像数字”就信任。
- 数字 ID 必须转整型并检查范围：
const id = parseInt(match[1], 10); if (isNaN(id) || id 1e6) return next(); - 用户名需白名单过滤：
if (!/^[a-z0-9_]{3,20}$/.test(username)) throw 400; - 禁止路径遍历：
if (username.includes('..') || username.includes('/') || username.startsWith('.')) throw 400;
优先级与顺序：长匹配优先，显式 fallback
多条重写规则共存时，匹配顺序决定行为。不要依赖“最短匹配”，而要按语义从具体到宽泛排列，并设兜底规则防止意外暴露。
- 正确顺序：
/api/v2/users/:id → /api/v1/users/:id → /api/* → /static/* → / - Nginx 中用
location = /exact（精确匹配）优先于location ^~ /prefix（前缀匹配）再优于location ~（正则匹配） - Express 建议把
app.use('*', notFoundHandler)放在所有路由之后，确保未匹配路径统一处理
