std::string::find不能用于高效多模式匹配，因其每次调用需独立扫描全文，10个模式即扫描10遍，时间复杂度达O(n×m×k)，k上百时延迟失控；而AC自动机通过预构建Trie树与失败指针，支持单次扫描、复用公共前缀、线性时间匹配所有模式。
为什么不能直接用 std::string::find 做多模式匹配
因为每次调用 std::string::find 都要从头扫描整个文本，10 个模式就要扫 10 遍，时间复杂度是 O(n×m×k)，n 是文本长度，m 是平均模式长度，k 是模式数量。实际场景中（比如日志过滤、DPI），k 可能上百，延迟直接不可控。
真正可行的路径是预构建状态机：把所有模式一次性编译成确定性有限自动机（DFA）或 Aho-Corasick（AC）自动机。AC 是更稳妥的选择——它支持失败转移，能复用公共前缀，内存可控，且单次扫描就能报告所有匹配。
- 别手写 AC 自动机：边界条件太多（比如空模式、重叠匹配、模式包含 '\0'），容易漏掉
goto fail或output link更新 - 生产环境优先用成熟实现：
aho-corasick（Rust 生态强，但 C++ 需移植）、hyperscan（Intel 优化，支持正则+多模式，但依赖 SIMD 和 license）、或轻量级 C++ 封装如cpp-aho-corasick - 如果模式集固定且不大（std::unordered_set<:string> + 滑动窗口哈希（如 Rabin-Karp），但要注意哈希冲突和长度不一带来的切片开销
如何用 hyperscan 实现低延迟过滤
hyperscan 不是“拿来即用”的库，它要求你把字符串模式转成正则语法（哪怕只是字面量），还要显式管理数据库生命周期和 scratch 空间。常见错误是复用 hs_scratch_t 而没重置，导致后续匹配结果错乱或 crash。
关键步骤只有三步，但每步都有坑：
立即学习“C++免费学习笔记（深入）”；
- 编译阶段：用
hs_compile_lit替代hs_compile处理纯字面量，避免正则元字符误解析；多个模式用hs_compile_multi，传入const char **和unsigned int *（ID 数组），ID 必须从 0 连续编号 - 匹配阶段：每次调用
hs_scan前必须用hs_reset_scratch清 scratch；回调函数里收到的id是你编译时指定的 ID，不是数组下标——别直接当索引去查 vector - 内存管理：数据库对象
hs_database_t *可跨线程复用，但hs_scratch_t *必须每线程独占，且不能在回调里释放它
示例片段（省略错误检查）：
hs_database_t *db; hs_compile_lit(patterns, ids, num_patterns, HS_FLAG_SOM_LEFTMOST, &compile_err, &db); hs_scratch_t *scratch; hs_alloc_scratch(db, &scratch); hs_scan(db, data, len, 0, scratch, on_match, &ctx);
模式动态更新时怎么避免重建整个自动机
AC 自动机和 hyperscan 都不支持运行时增删模式——一旦 hs_database_t 创建完成，就只读。强行 reload 会导致几毫秒停顿（尤其模式数 >1k 时，编译耗时明显）。
折中方案是分层过滤：
- 高频稳定模式（如协议关键字、已知恶意域名）放主 AC 自动机，长期驻留
- 低频/动态模式（如临时规则、用户自定义关键词）走二级过滤：先用 Bloom Filter 快速否定（
boost::bloom_filter或自实现），命中后再进std::unordered_set精确比对 - 如果必须热更新，可用双 buffer 切换：预编译新 DB，切换指针原子替换，旧 DB 延后异步销毁（需引用计数）
注意 Bloom Filter 的 false positive 会把无效文本送进精确匹配，所以容量和哈希次数得按吞吐压测调——error_rate=0.01 对 10k 模式约需 120KB 内存，但 false positive 率翻倍可能让 CPU 使用率涨 30%。
为什么匹配结果顺序和模式插入顺序不一致
AC 自动机和 hyperscan 都按文本扫描顺序报告匹配，不是按你添加模式的顺序。比如模式列表是 {"abc", "def", "ab"}，输入 "abc" 会先触发 "ab"（位置 0–1），再触发 "abc"（位置 0–2），即使 "abc" 在前。
如果你依赖顺序（比如取第一个命中的策略），必须自己做后处理：
- 收集所有匹配（起始位置 + ID），按
from排序；若起始相同，按模式长度降序（保证长模式优先） - 别在回调里直接 break：AC 自动机的
output链可能含多个模式，hyperscan的回调也按扫描顺序来，跳过会丢结果 - 注意重叠匹配是否允许：默认 AC 支持，
hyperscan需显式加HS_FLAG_ALLOWEMPTY和正确设置HS_FLAG_SOM_LEFTMOST
最易被忽略的是“部分匹配”语义：有些场景需要报告所有可能子串（如 `"a"` 和 `"ab"` 同时匹配 `"ab"`），有些只需要最长匹配。这个逻辑不在自动机构建阶段决定，而在结果聚合时控制。
