直接用 re.findall 提取 JS 变量容易漏数据，因其无法识别注释、多行字符串、模板字面量及压缩代码等干扰，导致错匹配、截断或遗漏 const/let/window.xxx 等声明；需先用正则预处理清除注释和字符串，再在“干净”文本中匹配，配合非贪婪捕获与负向断言提升准确性，并用 ast.literal_eval 或 json5 安全解析右侧值。
为什么直接用 re.findall 提取 JS 变量容易漏数据？
因为网页里嵌入的 <script></script> 块常混着注释、多行字符串、模板字面量（`...`），甚至压缩后的单行代码。直接写 re.findall(r'vars+([a-zA-Z_]w*)s*=s*(.*?);', html) 会错匹配注释里的伪变量、截断换行赋值、把 const 或 let 漏掉，还可能被字符串里的分号打断。
实际要提取的往往是类似这样的目标：
var token = "abc123"; const userId = 456; window.config = {api: "/v1"};- 优先匹配
var/const/let声明，也覆盖无关键字的window.xxx = ...形式 - 允许赋值右侧跨多行（尤其遇到对象字面量或函数）
- 跳过 JS 注释（
//和/*...*/）和字符串字面量（"..."、'...'、`...`）内的内容
用 re.sub 预处理脚本内容再提取更可靠
与其硬刚复杂语法，不如先剥离干扰：用正则把注释和字符串替换成占位符，再在“干净”的文本里找变量声明。这样既避免误匹配，又不用引入完整 JS 解析器。
示例代码片段：
立即学习“Python免费学习笔记（深入）”；
让 macOS 自动化像说话一样简单 —— 用代码控制你的 Mac，无需学习 AppleScript 系统要求 macOS 14+ (Sonoma) Python 3.9+ 需要开启：辅助功能 + 屏幕录制权限
import re
<p>def clean_js_script(js_text):</p><h1>移除单行注释</h1><pre class='brush:python;toolbar:false;'>js_text = re.sub(r'//.*$', '', js_text, flags=re.MULTILINE)
# 移除多行注释
js_text = re.sub(r'/*[sS]*?*/', '', js_text)
# 替换字符串字面量为统一标记（保留引号类型用于后续判断）
js_text = re.sub(r'("([^"\]|\.)*")|('([^'\]|\.)*')|(`([^`\]|\.)*`)',
lambda m: 'STRING_PLACEHOLDER', js_text)
return js_texthtml = '<script>var token = "ab//c"; // ignore this const data = {x:1};</script>' script_content = re.search(r'<script>]<em>>(.?)</script>', html, re.DOTALL | re.IGNORECASE) if script_content: clean = clean_js_script(script_content.group(1))
现在安全地提取变量
matches = re.findall(r'(?:var|const|let|window.)s*([a-zA-Z_]w*)s*=s*([^;]+);', clean)
注意：re.DOTALL 让 . 匹配换行符，否则多行对象字面量会被截断；STRING_PLACEHOLDER 避免字符串内出现 = 或 ; 干扰提取。
提取 window.xxx 类型变量时别忽略点号前的空格和换行
很多前端把配置挂到 window 上，写法五花八门：window.config=、window . api、window
.token。如果正则没考虑空白符，就会漏掉。
- 用
r'windows*.s*([a-zA-Z_]w*)s*=s*([^;]+);'覆盖空格/换行 - 注意
window后可能跟括号调用，如window.xxx()，这不是赋值，得排除 —— 加负向先行断言：r'window(?!s*()s*.s*([a-zA-Z_]w*)s*=s*([^;]+);' - 如果右侧是对象或数组，
[^;]+仍可能被内部;截断，此时应改用非贪婪匹配到最近的分号：.*?;，并确保预处理已清除字符串内分号
提取后怎么安全地解析右侧表达式？
得到类似 ["token", '"abc123"'] 或 ["config", '{api: "/v1"}'] 这样的结果，不能直接 eval() —— XSS 风险高，且 {api: "/v1"} 是非法 JSON（key 无引号）。
- 对字符串值，用
ast.literal_eval()安全解析"..."、'...'、True、None等字面量 - 对对象/数组字面量，建议用
json5库（pip install json5），它兼容 JS 风格的 JSON：支持单引号、省略引号的 key、尾逗号等 - 如果只是要原始字符串值，不解析，就保留
matches中第二项，去掉首尾空格和分号即可
真正难的不是匹配，而是判断哪些变量是你需要的 —— 页面可能声明几十个变量，但只有 token、csrf_token、window.__INITIAL_STATE__ 这类才是关键。得结合上下文人工确认，正则只负责“捞出来”。
