El otro post ya te pase una página donde podías hacer pruebas de regex y aprender a hacerlo pues dicha página te explica el regex que tienes. Vamos a explicar el tuyo.

Primero tienes esto:

[^0-9]{20}

Esto es un set negativo donde buscas cualquier cosa que NO sea un número de 0-9 y que tenga una longitud de 20 caracteres.

Luego tienes esto:

[^A-Z]{21,22}

Otro set negativo donde buscas cualquier cosa que NO sea A-Z y que tenga una longitud de entre 21 y 22 caracteres.


Entonces, lo que le estamos diciendo es, reemplazame, aquellos strings donde haya especificamente 20 caracteres que NO sean un número seguido de 21 o 22 caracteres que no sean mayúsculas... Supongo que ya puedes ver el fallo.


Aquí no tienes que buscar reemplazar (sanitizar), tienes que validar. Es decir, no buscas un replace, buscas que el valor sea especificamente el formato que le estas indicando (test). Por tanto, verifica que de principio (^) a fin ($), el texto contiene exactamente 20 caracteres numéricos y 2 letras mayúsculas. O lo que es lo mismo:

const tests = [
  '1234567890AB',
  '1234567890AB1234567890',
  '12345678901234567890AABB',
  '123456789012345678901A',
  '1234567890123456789AB2',
  '$$$$$$$$$$$$$$$$$$$$00',
  'dsakdsakldjaksljdklasa',
  'askjdasdjklasjdkasjd12',
  '12345678901234567890AB',
];
 
const regexCode = /[0-9]{20}[A-Z]{2}$/g;
 
tests.forEach(function(value) {
 
  if (!regexCode.test(value)) {
    console.log(value + ' no es un codigo valido');
  }
 
});

El único que no te saltara como no valido es el ultimo (12345678901234567890AB) puesto que cumple con las condiciones.

Saludos

Ya, por eso te he dicho que deberias validar y no sanitizar en este caso. Si, puedes hacer una regex que busque solo esa coincidencia y quite el resto:

form_verify_email.verify_code.value = String(form_verify_email.verify_code.value).replace(/.*([0-9]{20}[A-Z]{2}).*/g, '$1');

Y esto solo te cogeria lo que buscas.. pero es que lo cogerá de cualquier lado, aunque el string sea este:


y así te estás exponiendo a que generen un string gigante que casualmente podría contener un código válido y alá, a correr.


Intenta validar antes de sanitizar. Comprueba si el string que te están pasando cumple con el formato que pides, si no lo hace, mandales a fregar, pero no intentes hacerle el favor a un posible atacante.


Saludos