负向先行断言的基本原理
核心概念与正则语法
负向先行断言是一种正则表达式中的断言，用来在不消费字符的前提下，判断后续文本是否符合某个模式。通过这样的机制，可以在遇到尖括号时，决定是否将其替换为转义实体，从而实现对文本的 选择性转义。
在前端开发的场景中，我们经常需要对用户输入的 HTML 进行转义，以防止 XSS 攻击，同时又希望保留一些有用的标签来呈现格式。使用 负向先行断言，可以让正则仅对不属于允许标签集合的尖括号进行处理，从而实现对特定标签的“留存”能力。
匹配场景与边界条件
常见需求包括：保留诸如 <a>、<code>、<pre> 等标签，同时对其他标签或文本进行转义。设计正则时，需要确保开闭标签都能正确识别，并且不会把允许的标签的尖括号替换成实体。
正确实现的关键，是让正则在遇到允许标签的起始位置时，不对尖括号进行替换，从而实现对标签的原样保留，而文本中的普通尖括号仍然可以被转义成 <、> 等实体。
在 HTML 标签转义中的应用
保留标签的名单与策略
在实际项目中，我们会给出一个允许保留的标签集合，例如 <a>、<code>、<pre>、<strong> 和 <em> 等。策略核心是在对输入进行转义前，先用负向先行断言筛选出不属于这些标签的尖括号，并对它们进行转义。
通过这种策略，只有未在允许集合中的尖括号会被替换为 HTML 实体，其它标签仍然保持原样，从而实现“转义文本但保留标签”的实战效果。这个思路在处理论坛、博客评论等需要富文本展示的场景中尤为有效。
正则设计要点
为了实现该目标，我们需要一个能够识别“非允许标签”的尖括号的正则。典型的写法是使用一个负向前瞻断言：(?!pattern)，结合允许标签的名单来构造模式，例如 <(?!(?:\\/)?(?:a|code|pre|strong|em)\\b)，这样只有不以这些标签开头的尖括号才会被替换为 <。
需要注意的是，负向先行断言只对开头的 <、<\ 等符号生效，因此要确保闭合标签也能被正确处理，确保字符串中的允许标签对保持原样。
实战演练：选择性转义并保留特定标签
完整实现思路与关键步骤
实现的核心分为几步：先对文本中的特殊字符进行必要的整体转义，然后再用一个负向先行断言的正则，针对不在允许集合中的尖括号进行替换。这样一来，允许集合中的标签就能保留为真实的 HTML 标签。
具体步骤包括：1) 对文本中的 & 符号进行初步转义以避免实体拼接带来的问题；2) 使用带有负向先行断言的正则，对不在允许集合中的 < 进行转义；3) 将结果输出到页面的文本区域或 HTML 渲染区域，确保允许标签保持可呈现的格式。
代码示例与解释
下面给出一个简化的实现片段，展示如何利用负向先行断言来保留指定标签并对其他尖括号进行转义。代码中，allowedTags 指定了需要保留的标签集合。
function escapeExceptAllowedTags(input, allowedTags) {// 规范化允许的标签集合const tags = (allowedTags || ['a', 'code', 'pre', 'strong', 'em']).map(t => t.toLowerCase()).filter(Boolean);// 构造负向先行断言，以便对非允许标签的尖括号进行转义const pattern = new RegExp('<(?!\\/?(?:' + tags.join('|') + ')\\b)', 'gi');// 先对文本中的 & 进行转义，避免实体拼接let out = (input || '').replace(/&/g, '&');// 再对不在允许集合中的尖括号进行转义out = out.replace(pattern, '<');// 结果中，允许的标签仍然是原样的 HTML 标签return out;
}上述实现中，负向先行断言起到了核心作用，它确保只有不属于允许集合的尖括号会被转义。需要注意的是，代码中的正则会匹配诸如 <script> 之类的标签，但由于我们使用的是负向断言，非允许标签的尖括号会被转义，而允许标签的尖括号保持原样。
示例用法与输出对比
以下示例展示了在实际字符串中的应用效果：一个包含了链接、代码块以及脚本标签的文本。通过上述函数处理后，链接标签保持可渲染，脚本标签则被转义以避免执行。
const raw = "请查看 示例，也可以使用 console.log('hello')，但不要执行 <script>alert('xss')</script>。";
const safe = escapeExceptAllowedTags(raw, ['a', 'code']);
console.log(safe);
// 输出会保留 <a> 与 <code> 所指的标签，同时对其他尖括号进行了转义
兼容性与实现细节注意
浏览器对正则与断言的支持差异
大多数现代浏览器都对 ECMAScript 2018 及以上版本提供了对负向先行断言的支持，因此在主流浏览器中该实现通常可行。但是，仍需在需要兼容旧浏览器的场景下进行回退实现或使用 DOM 级别的文本处理替代。
在实际部署时，建议对目标设备的浏览器范围进行评估，并进行单元测试以确保正则在各种输入场景下的稳定性。对复杂的嵌套标签结构，正则法可能存在边界问题，此时可以结合 DOM 解析来增强鲁棒性。
常见坑点与修正要点
一个常见的坑点是对文本中的 & 实体进行转义后，再对尖括号进行转义，可能导致实体重复编码。为避免这一情况，建议采用单一来源的转义顺序，并在处理前后对结果进行校验。
另一个注意点是：若允许标签集合包含带属性的标签（如 <a href=...>），则需要扩展正则以允许属性部分的存在，或者在保留标签时仅保留标签名而让属性在后续处理中处理。此时，基于 DOM 的实现会更具鲁棒性。
性能考量与最佳实践
使用正则进行文本转义在短文本场景下足够快速，但若输入文本长度极大且经常需要执行多次转义，建议对正则进行缓存、减少重复计算，并在必要时采用分段处理的策略。
在代码可维护性方面，建议将允许标签集合与转义逻辑解耦成独立的模块，方便在不同项目中复用、替换或扩展。
