올 바르고 확실하게이 작업을 수행 할 수있는 간단한 방법을 사용하는 것 Open3.capture2(), Open3.capture2e()또는Open3.capture3() .
신뢰할 수없는 데이터와 함께 사용하는 경우 루비의 백틱과 그 %x별명을 사용하는 것은 어떠한 상황 에서도 안전 하지 않습니다 . 그것은이다 위험한 , 평범하고 단순하게 :
untrusted = "; date; echo"
out = `echo #{untrusted}` # BAD
untrusted = '"; date; echo"'
out = `echo "#{untrusted}"` # BAD
untrusted = "'; date; echo'"
out = `echo '#{untrusted}'` # BAD
system기능은, 대조적으로, 제대로 인수를 탈출 올바르게 사용하는 경우 :
ret = system "echo #{untrusted}" # BAD
ret = system 'echo', untrusted # good
문제는 출력 대신 종료 코드를 반환하고 후자를 캡처하는 것이 복잡하고 어수선하다는 것입니다.
이 스레드에서 가장 좋은 답변은 지금까지 Open3을 언급했지만 작업에 가장 적합한 기능은 아닙니다. Open3.capture2, capture2e및 capture3작업 같은 system,하지만 반환 두 개 또는 세 개의 인수 :
out, err, st = Open3.capture3("echo #{untrusted}") # BAD
out, err, st = Open3.capture3('echo', untrusted) # good
out_err, st = Open3.capture2e('echo', untrusted) # good
out, st = Open3.capture2('echo', untrusted) # good
p st.exitstatus
또 다른 언급 IO.popen(). 구문은 배열을 입력으로 원한다는 의미에서 서투른 것일 수 있지만 작동합니다.
out = IO.popen(['echo', untrusted]).read # good
편의를 위해 다음 Open3.capture3()과 같은 함수를 래핑 할 수 있습니다 .
#
# Returns stdout on success, false on failure, nil on error
#
def syscall(*cmd)
begin
stdout, stderr, status = Open3.capture3(*cmd)
status.success? && stdout.slice!(0..-(1 + $/.size)) # strip trailing eol
rescue
end
end
예:
p system('foo')
p syscall('foo')
p system('which', 'foo')
p syscall('which', 'foo')
p system('which', 'which')
p syscall('which', 'which')
다음을 산출합니다.
nil
nil
false
false
/usr/bin/which <— stdout from system('which', 'which')
true <- p system('which', 'which')
"/usr/bin/which" <- p syscall('which', 'which')