Node.js中安全调用系统命令的方法（避免注入安全漏洞）

在Node.js中安全调用系统命令是非常重要的，避免注入安全漏洞。以下是完整攻略：

使用child_process模块

Node.js提供了child_process模块，专门用于创建子进程。我们可以使用它来安全调用系统命令。

1. 使用exec函数

exec函数可以在一个Shell中执行指定的命令，并缓存执行结果。但是它有一些安全漏洞，例如攻击者可能会使用分号或者逗号来注入其他命令。

示例一：

const { exec } = require('child_process');

const command = 'ls; rm -rf /';
exec(command, (err, stdout, stderr) => {
  if (err) {
    console.error('Command execution failed:', err);
    return;
  }
  console.log('Command execution succeed:', stdout);
});

在上面的示例中，command的值是ls; rm -rf /，在执行ls命令之后，会执行rm -rf /，将所有文件删除。

2. 使用spawn函数

spawn函数可以启动一个子进程，并在该进程中执行指定的命令。它不会在Shell中执行该命令，因此不会受到注入攻击的影响。

示例二：

const { spawn } = require('child_process');

const command = 'ls';
const args = ['-lh', '/usr'];

const child = spawn(command, args);

child.stdout.on('data', (data) => {
  console.log(`Command execution succeed: ${data}`);
});

child.stderr.on('data', (data) => {
  console.error(`Command execution failed: ${data}`);
});

child.on('close', (code) => {
  console.log(`child process exited with code ${code}`);
});

在上面的示例中，command的值是ls，args的值是['-lh', '/usr']，该命令会列出/usr目录下的文件列表。

使用模块进行安全转义

即使使用spawn函数也不一定能完全保证安全。为了降低注入攻击的风险，我们应该使用第三方库来将参数进行安全转义。

1. shell-quote模块

shell-quote模块可以将参数转义为Shell所允许的格式，因此参数将被安全地传递给外部命令。

示例三：

const { spawn } = require('child_process');
const shellQuote = require('shell-quote');

const command = 'ls';
const args = shellQuote.quote(['-lh', '/usr']);

const child = spawn(command, args);

child.stdout.on('data', (data) => {
  console.log(`Command execution succeed: ${data}`);
});

child.stderr.on('data', (data) => {
  console.error(`Command execution failed: ${data}`);
});

child.on('close', (code) => {
  console.log(`child process exited with code ${code}`);
});

在上面的示例中，args的值通过shellQuote.quote函数进行了转义，可以安全地传递给外部命令。

2. escape-args模块

escape-args模块可以将参数转义为Shell所允许的格式，包括引号和转义符号。

示例四：

const { spawn } = require('child_process');
const escapeArgs = require('escape-args');

const command = 'ls';
const args = escapeArgs(['-lh', '/usr']);

const child = spawn(command, args);

child.stdout.on('data', (data) => {
  console.log(`Command execution succeed: ${data}`);
});

child.stderr.on('data', (data) => {
  console.error(`Command execution failed: ${data}`);
});

child.on('close', (code) => {
  console.log(`child process exited with code ${code}`);
});

在上面的示例中，args的值通过escapeArgs函数进行了转义，可以安全地传递给外部命令。