จะหลบหนีการเรียก os.system () ได้อย่างไร

เมื่อใช้ os.system () มักจำเป็นต้องหลีกเลี่ยงชื่อไฟล์และอาร์กิวเมนต์อื่น ๆ ที่ส่งผ่านเป็นพารามิเตอร์ไปยังคำสั่ง ฉันจะทำเช่นนี้ได้อย่างไร? โดยเฉพาะอย่างยิ่งสิ่งที่สามารถใช้ได้กับหลายระบบปฏิบัติการ / เชลล์ แต่โดยเฉพาะอย่างยิ่งสำหรับ bash

ฉันกำลังทำสิ่งต่อไปนี้ แต่แน่ใจว่าต้องมีฟังก์ชั่นไลบรารีสำหรับสิ่งนี้หรืออย่างน้อยก็เป็นตัวเลือกที่หรูหรา / แข็งแกร่ง / มีประสิทธิภาพมากขึ้น:

def sh_escape(s):
   return s.replace("(","\\(").replace(")","\\)").replace(" ","\\ ")

os.system("cat %s | grep something | sort > %s" 
          % (sh_escape(in_filename), 
             sh_escape(out_filename)))

แก้ไข:ฉันยอมรับคำตอบง่ายๆของการใช้เครื่องหมายคำพูดไม่รู้ว่าทำไมฉันถึงไม่คิดอย่างนั้น ฉันเดาว่าเป็นเพราะฉันมาจาก Windows โดยที่ "และ" ทำงานแตกต่างกันเล็กน้อย

เกี่ยวกับความปลอดภัยฉันเข้าใจข้อกังวล แต่ในกรณีนี้ฉันสนใจวิธีแก้ปัญหาที่ง่ายและรวดเร็วซึ่ง os.system () มีให้และแหล่งที่มาของสตริงนั้นไม่ได้สร้างโดยผู้ใช้หรืออย่างน้อยก็ป้อนโดย a ผู้ใช้ที่เชื่อถือได้ (ฉัน)

นี่คือสิ่งที่ฉันใช้:

def shellquote(s):
    return "'" + s.replace("'", "'\\''") + "'"

เชลล์จะยอมรับชื่อไฟล์ที่ยกมาเสมอและลบเครื่องหมายคำพูดรอบข้างก่อนที่จะส่งไปยังโปรแกรมที่มีปัญหา โดยเฉพาะอย่างยิ่งสิ่งนี้จะหลีกเลี่ยงปัญหาเกี่ยวกับชื่อไฟล์ที่มีช่องว่างหรือตัวอักษรเชลล์ที่น่ารังเกียจอื่น ๆ

อัปเดต : หากคุณใช้ Python 3.3 ขึ้นไปให้ใช้shlex.quoteแทนการหมุนของคุณเอง

shlex.quote() ทำในสิ่งที่คุณต้องการตั้งแต่ python 3

(ใช้pipes.quoteรองรับทั้ง python 2 และ python 3)

os.system()บางทีคุณอาจมีเหตุผลที่เฉพาะเจาะจงสำหรับการใช้ แต่ถ้าไม่คุณควรใช้subprocessโมดูลนี้ คุณสามารถระบุท่อได้โดยตรงและหลีกเลี่ยงการใช้เปลือก

ต่อไปนี้มาจากPEP324 :

Replacing shell pipe line
-------------------------

output=`dmesg | grep hda`
==>
p1 = Popen(["dmesg"], stdout=PIPE)
p2 = Popen(["grep", "hda"], stdin=p1.stdout, stdout=PIPE)
output = p2.communicate()[0]

อาจsubprocess.list2cmdlineจะเป็นภาพที่ดีกว่า?

โปรดทราบว่า pip.quote เสียจริงใน Python 2.5 และ Python 3.1 และไม่ปลอดภัยที่จะใช้ - ไม่จัดการอาร์กิวเมนต์ที่มีความยาวเป็นศูนย์

>>> from pipes import quote
>>> args = ['arg1', '', 'arg3']
>>> print 'mycommand %s' % (' '.join(quote(arg) for arg in args))
mycommand arg1  arg3

ดูPython ฉบับ 7476 ; ได้รับการแก้ไขแล้วใน Python 2.6 และ 3.2 และใหม่กว่า

หมายเหตุ : นี่คือคำตอบสำหรับ Python 2.7.x

อ้างอิงถึงแหล่งที่มา , pipes.quote()เป็นวิธีที่จะเป็น " เชื่อถือได้พูดสตริงเป็นอาร์กิวเมนต์เดียวสำหรับ/ bin / ดวลจุดโทษ " (แม้ว่าจะเลิกใช้งานตั้งแต่เวอร์ชัน 2.7และในที่สุดก็เปิดเผยต่อสาธารณะใน Python 3.3 ในฐานะshlex.quote()ฟังก์ชัน)

บนมืออื่น ๆ , subprocess.list2cmdline()เป็นวิธีการ " แปลเป็นลำดับของการขัดแย้งเป็นสตริงบรรทัดคำสั่งโดยใช้กฎเดียวกับรันไทม์ MS C "

นี่คือวิธีที่เป็นอิสระจากแพลตฟอร์มในการอ้างถึงสตริงสำหรับบรรทัดคำสั่ง

import sys
mswindows = (sys.platform == "win32")

if mswindows:
    from subprocess import list2cmdline
    quote_args = list2cmdline
else:
    # POSIX
    from pipes import quote

    def quote_args(seq):
        return ' '.join(quote(arg) for arg in seq)

การใช้งาน:

# Quote a single argument
print quote_args(['my argument'])

# Quote multiple arguments
my_args = ['This', 'is', 'my arguments']
print quote_args(my_args)

ฉันเชื่อว่า os.system จะเรียกใช้เชลล์คำสั่งใดก็ตามที่กำหนดค่าไว้สำหรับผู้ใช้ดังนั้นฉันไม่คิดว่าคุณจะทำได้ในรูปแบบที่เป็นอิสระจากแพลตฟอร์ม เชลล์คำสั่งของฉันอาจเป็นอะไรก็ได้ตั้งแต่ bash, emacs, Ruby หรือแม้แต่ quake3 โปรแกรมเหล่านี้บางโปรแกรมไม่ได้คาดหวังว่าจะมีข้อโต้แย้งที่คุณส่งผ่านถึงพวกเขาและแม้ว่าพวกเขาจะทำก็ไม่มีการรับประกันว่าพวกเขาจะหลบหนีในลักษณะเดียวกัน

ฟังก์ชันที่ฉันใช้คือ:

def quote_argument(argument):
    return '"%s"' % (
        argument
        .replace('\\', '\\\\')
        .replace('"', '\\"')
        .replace('$', '\\$')
        .replace('`', '\\`')
    )

นั่นคือ: ฉันใส่อาร์กิวเมนต์ไว้ในเครื่องหมายคำพูดคู่เสมอจากนั้นแบ็กสแลช - อ้างอิงเฉพาะอักขระพิเศษภายในเครื่องหมายคำพูดคู่

หากคุณใช้คำสั่งระบบฉันจะลองและรายการที่อนุญาตในการเรียกใช้ os.system () ตัวอย่างเช่น ..

clean_user_input re.sub("[^a-zA-Z]", "", user_input)
os.system("ls %s" % (clean_user_input))

โมดูลกระบวนการย่อยเป็นตัวเลือกที่ดีกว่าและฉันขอแนะนำให้พยายามหลีกเลี่ยงการใช้สิ่งใด ๆ เช่น os.system / subprocess หากทำได้

คำตอบที่แท้จริงคืออย่าใช้os.system()ตั้งแต่แรก ใช้subprocess.callแทนและระบุอาร์กิวเมนต์ที่ไม่ใช้ Escape