核心是构建严格锚定、分段清晰、边界明确的正则表达式：以^TEST_PROCESS_[a-z]+(?:_PRODUCT(?:_NEW)?)?$确保仅匹配合法形式，排除双下划线、大小写混用、前缀错误等所有非法变体。
核心在于把业务规则拆成可锚定、可隔离、可验证的正则片段，再组合成完整模式。不能只写“能匹配”，而要确保“只匹配合法形式”，尤其警惕下划线冗余、边界遗漏、字符范围过宽这三类高频问题。
明确变量结构与约束条件
先不急着写正则，用自然语言把校验目标写清楚。例如：字符串必须以 TEST_PROCESS_ 开头，中间是仅含小写字母的变量名（如 user、order_id），结尾可选 _PRODUCT 或 _PRODUCT_NEW，且全程不允许出现连续下划线（__）、末尾孤立下划线（_）、大小写混用或数字。
- 固定前缀：TEST_PROCESS_（注意末尾下划线是必需的）
- 变量段：[a-z]+（不能是空、不能含数字或大写）
- 可选后缀：只能是 _PRODUCT 或 _PRODUCT_NEW，不能是 _product 或 _PRODUCT_
- 整体必须严格首尾锚定，不允许子串匹配
分段构建 + 严格锚定
把上述逻辑翻译成正则时，按“前缀 + 变量 + 后缀”三段组织，并强制用 ^ 和 $ 包裹：
^TEST_PROCESS_[a-z]+(?:_PRODUCT(?:_NEW)?)?$
- ^ 和 $ 确保整串匹配，避免 "abcTEST_PROCESS_user_PRODUCTxyz" 这类误通过
- [a-z]+ 限定变量只能是小写字母，长度至少1位
- (?:_PRODUCT(?:_NEW)?)? 是非捕获组，表示“可选”，其中 _NEW 本身也设为可选，这样就能覆盖三种合法形式
- 整个结构天然排除了双下划线——因为 [a-z]+ 后面直接接 _PRODUCT，中间没有空隙可插额外 _
在代码中落地校验逻辑
Java 中推荐用 String.matches()，它隐式包含全匹配语义，无需手动创建 Pattern/Matcher：
if (input.matches("^TEST_PROCESS_[a-z]+(?:_PRODUCT(?:_NEW)?)?$")) { /* 合法 */ }
FastAPI 中可直接用 Regex 校验器：
from fastapi import Query
from pydantic import Field
name: str = Field(..., pattern=r"^TEST_PROCESS_[a-z]+(?:_PRODUCT(?:_NEW)?)?$")
- 注意：正则字符串里反斜杠不用双写（Python raw string 或 FastAPI 自动处理）
- 若需返回更友好的错误提示，可在校验失败时抛出自定义异常，说明“变量名只能是小写字母”或“结尾只能是 _PRODUCT 或 _PRODUCT_NEW”
测试边界用例防漏
光写对正则不够，得用典型非法输入反向验证：
- TEST_PROCESS_user_ → ❌（末尾多余下划线）
- TEST_PROCESS__user_PRODUCT → ❌（前缀后双下划线）
- test_process_user_PRODUCT → ❌（前缀大小写不符）
- TEST_PROCESS_User_PRODUCT → ❌（变量含大写）
- TEST_PROCESS_user_PRODUCT_NEW_EXTRA → ❌（后缀超出允许范围）
每一条都应被正则拒绝。只要有一条漏过，就说明模式存在漏洞。
