이메일 검증 정규식, 매번 스택오버플로우에서 복붙하는 당신에게 — 정규표현식 실전 가이드

몇 달 전에 회원가입 폼 이메일 검증 로직에서 버그가 터졌어요. 5년 전에 스택오버플로우에서 복붙해서 쓰던 패턴인데, user+tag@gmail.com 같은 주소가 죄다 튕겨나가고 있었던 거예요. '+' 기호를 허용 안 하는 패턴이었는데 그걸 5년 동안 몰랐던 거죠. 그때 처음으로 정규식 문법을 제대로 뜯어봤어요. 생각보다 어렵지 않더라고요. 핵심 기호 열 개 정도만 알면 웬만한 건 직접 쓸 수 있어요.

이 글은 정규식 문법을 처음부터 조각조각 설명하고, 실무에서 바로 쓸 수 있는 패턴 10개와 언어별 차이점, 그리고 서버를 진짜로 멈추게 만들 수 있는 역추적 함정까지 다뤄요. 복붙 말고 직접 쓰고 싶은 분을 위한 가이드예요.

메타문자 — 이 7개만 알면 절반은 끝나요

메타문자는 정규식에서 특별한 의미를 가진 문자예요. 이것만 외우면 나머지는 조합이에요.

• . (점) — 줄바꿈 제외 모든 문자 하나에 매칭돼요. c.t는 'cat', 'cut', 'c9t'에 매칭되는데 'coat'는 아니에요. 두 글자니까요.
• \d — 숫자 0~9에 매칭돼요. [0-9]랑 동일해요. \D는 반대로 숫자가 아닌 것에 매칭돼요.
• \w — 영문자, 숫자, 밑줄에 매칭돼요. [a-zA-Z0-9_]와 같아요. \W는 그 반대예요.
• \s — 공백 문자(스페이스, 탭, 줄바꿈)에 매칭돼요. \S는 공백이 아닌 것에 매칭돼요.
• \b — 단어 경계예요. 문자가 아니라 위치를 나타내는 거예요. \bcat\b는 'cat'에는 매칭되지만 'concatenate'에는 매칭 안 돼요.
• ^ — 문자열의 시작에 앵커를 잡아요. m 플래그를 쓰면 각 줄의 시작에도 매칭돼요.
• $ — 문자열의 끝에 앵커를 잡아요. ^[0-9]+$처럼 쓰면 숫자만으로 구성된 전체 문자열을 의미해요.

수량자 — 몇 번 반복할지 정하는 것들

수량자는 앞에 오는 요소를 몇 번 반복할지 지정해요. 정규식의 핵심 기능인 동시에 버그의 주요 원인이기도 해요.

• * — 0회 이상. a*는 빈 문자열, 'a', 'aaa'에 모두 매칭돼요. 0회도 허용하니까 항상 성공해요.
• + — 1회 이상. a+는 'a', 'aaa'에 매칭되지만 빈 문자열에는 매칭 안 돼요. 최소 1번은 있어야 해요.
• ? — 0회 또는 1회. 앞의 요소를 선택적으로 만들어요. colou?r는 'color'랑 'colour' 모두에 매칭돼요.
• {n} — 정확히 n번. \d{4}는 정확히 4자리 숫자에 매칭돼요. 연도나 PIN 검증에 딱이에요.
• {n,m} — n번 이상 m번 이하. \d{2,4}는 2~4자리 숫자에 매칭돼요.
• {n,} — n번 이상. \d{3,}는 세 자리 이상 숫자라면 무조건 매칭돼요.

수량자는 기본적으로 욕심쟁이예요. 가능한 한 많이 매칭하려 해요. ?를 붙이면 게으른 수량자가 되는데, 가능한 한 적게 매칭하려고 해요. HTML이나 중첩된 구조를 파싱할 때 이 차이가 엄청나게 중요해요.

그룹, 전방탐색, 교대

• (abc) — 캡처 그룹. 패턴을 감싸서 매칭된 텍스트를 저장해요. 교체 문자열에서 $1이나 \1로 참조할 수 있어요.
• (?:abc) — 비캡처 그룹. 캡처 없이 그룹화만 해요. 저장이 필요 없을 때 쓰면 더 빠르고 메모리도 덜 써요.
• (?<name>abc) — 명명된 캡처 그룹. 이름으로 접근할 수 있어요. JavaScript에서는 match.groups.name으로 쓸 수 있어요.
• a|b — 교대. 논리적인 OR이에요. 'a' 또는 'b'에 매칭돼요. (cat|dog)처럼 그룹으로 감싸면 명확해져요.
• (?=abc) — 긍정 전방탐색. 뒤에 'abc'가 오는지 확인하는데, 실제로 그 부분은 소비하지 않아요. 비밀번호 검증에 많이 써요.
• (?<=abc) — 긍정 후방탐색. 앞에 'abc'가 있는지 확인해요. 일부 환경에서 지원 안 되는 경우가 있어요.

바로 쓸 수 있는 실전 패턴 10개

지금 당장 프로덕션에 넣을 수 있는 패턴들이에요. 패턴뿐 아니라 왜 이렇게 짰는지도 같이 설명할게요.

• 이메일: ^[a-zA-Z0-9._%+\-]+@[a-zA-Z0-9.\-]+\.[a-zA-Z]{2,}$ — 실제 주소의 99% 이상을 커버해요. + 기호도 허용하기 때문에 Gmail 별칭도 통과시켜요.
• URL: https?:\/\/(www\.)?[a-zA-Z0-9@:%._+~#=\-]{1,256}\.[a-zA-Z0-9()]{1,6}\b([a-zA-Z0-9()@:%_+.~#?&\/=]*) — 경로와 쿼리 스트링 포함 대부분의 웹 URL에 매칭돼요.
• 한국 휴대폰 번호: 010[\-\s]?\d{4}[\-\s]?\d{4} — 010-XXXX-XXXX, 010 XXXX XXXX, 01012345678 모두 통과해요.
• 국제 전화번호: \+?[1-9]\d{0,2}[\s\-.]?\(?\d{2,4}\)?[\s\-.]?\d{3,4}[\s\-.]?\d{3,4} — 국가 코드 포함 다양한 형식을 허용해요.
• IPv4 주소: ^(?:(?:25[0-5]|2[0-4]\d|[01]?\d\d?)\.){3}(?:25[0-5]|2[0-4]\d|[01]?\d\d?)$ — 각 옥텟을 0~255로 제한해요. \d{1,3}만 쓰면 999.999.999.999도 통과시키거든요.
• 날짜(YYYY-MM-DD): ^\d{4}-(0[1-9]|1[0-2])-(0[1-9]|[12]\d|3[01])$ — 월(01~12)과 일(01~31) 범위를 검증해요.
• 강력한 비밀번호: ^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[!@#$%^&*])[A-Za-z\d!@#$%^&*]{8,}$ — 소문자, 대문자, 숫자, 특수문자 모두 필수, 최소 8자예요.
• HEX 색상 코드: ^#([a-fA-F0-9]{6}|[a-fA-F0-9]{3})$ — #RRGGBB와 #RGB 약식 모두 매칭돼요. 여기서는 #가 필수예요.
• URL 슬러그: ^[a-z0-9]+(?:-[a-z0-9]+)*$ — 'my-blog-post' 같은 소문자-하이픈 슬러그에 매칭돼요. 앞뒤 하이픈은 거부해요.
• 한글만: ^[가-힣\s]+$ — 한글과 공백만 포함된 문자열에 매칭돼요. 이름 검증에 쓸 수 있어요.

언어별 정규식 기능 비교

성능 팁 — 실무에서 진짜 차이 나는 것들

• 한 번만 컴파일하고 재사용하기: Python에서는 re.compile(), Java에서는 Pattern.compile()을 루프 바깥에서 한 번만 실행하세요. 루프 안에서 매번 컴파일하면 성능이 크게 떨어져요.
• 앵커를 쓸 수 있으면 쓰기: ^pattern$은 전체 문자열이 안 맞으면 일찍 포기해서 빠르게 실패해요. 전체 문자열을 검증할 때는 항상 앵커를 붙이세요.
• .* 대신 구체적인 문자 클래스 쓰기: 다음 부분까지 건너뛸 때 .*를 쓰지 말고 [^,]* 나 [^\n]*처럼 구체적으로 쓰세요. 역추적이 훨씬 줄어들어요.
• 비캡처 그룹 사용하기: 캡처된 값이 필요 없으면 (abc) 대신 (?:abc)를 쓰세요. 메모리 할당이 줄고 약간 더 빨라요.
• 실제 데이터로 테스트하기: 정규식 성능은 입력에 따라 크게 달라져요. 매칭되는 입력뿐 아니라 매칭되지 않는 긴 문자열로도 반드시 테스트해보세요.