Yeti平台搜索功能特殊字符处理问题解析

在安全分析平台Yeti的使用过程中，开发团队发现了一个影响系统核心功能的缺陷：当用户搜索包含特殊字符的命令行类型可观测数据时，系统无法返回正确结果。这个问题不仅影响了基本的搜索功能，还波及到了基于这些可观测数据运行的分析任务。

问题根源分析

经过技术团队的深入排查，发现问题出在ArangoYetiConnector类的filter方法实现上。该方法在处理搜索条件时，会为所有查询自动添加正则表达式(REGEX)匹配条件。然而正则表达式语法中的特殊字符（如".", "*", "?", "[", "]", "(", ")", "{", "}"等）需要经过转义处理才能正确匹配字面值，而当前实现中缺少这一关键步骤。

技术解决方案

针对这个问题，技术团队提出了两种可能的解决方案：

1. 直接修复方案：将现有的正则匹配条件替换为更智能的组合条件，同时支持CONTAINS和REGEX_TEST两种匹配方式。具体实现是将条件语句修改为同时检查字符串包含和正则匹配，确保无论是否包含特殊字符都能正确匹配。

2. 架构改进方案：引入显式的正则表达式操作符，让用户可以明确指定何时使用正则匹配，何时进行普通字符串匹配。这种方案虽然需要更多的前端改动，但能提供更清晰的搜索语义。

影响评估与选择建议

第一种方案的优势在于：

• 改动范围小，只需修改后端一处条件判断
• 对现有用户完全透明，不需要改变搜索习惯
• 能够立即解决当前问题

第二种方案则提供了：

• 更明确的搜索语义
• 更高的灵活性
• 更符合长期架构演进方向

考虑到问题的紧迫性和用户影响，技术团队最终选择了第一种方案作为快速修复，同时将第二种方案列入长期改进计划。

技术实现细节

修复后的条件判断逻辑使用了ArangoDB的两个字符串函数组合：

• CONTAINS()函数用于简单的字符串包含检查
• REGEX_TEST()函数用于正则表达式匹配
• 通过OR逻辑连接，确保两种匹配方式中任一满足即可返回结果

这种组合方式巧妙地规避了特殊字符转义问题，因为当搜索词不包含正则元字符时，CONTAINS能直接匹配；当确实需要正则匹配时，REGEX_TEST也能正常工作。

总结

这个案例展示了在开发搜索功能时处理特殊字符的典型挑战。Yeti平台通过灵活运用数据库内置函数组合，既解决了眼前的问题，又为未来的功能扩展保留了空间。对于开发者而言，这个案例也提醒我们在实现搜索功能时需要特别注意特殊字符的处理策略，根据实际需求选择合适的匹配方式。