python - subprocess.call() 如何与 shell=False 一起工作？

Question

我正在使用 Python 的 subprocess模块调用一些 Linux 命令行函数。文档将 shell=True 参数解释为

If shell is True, the specified command will be executed through the shell

有两个例子，从描述性的角度来看，它们对我来说似乎是一样的(即它们都调用了一些命令行命令)，但是其中一个使用了 shell=True 而另一个使用了不

>>> subprocess.call(["ls", "-l"])
0

>>> subprocess.call("exit 1", shell=True)
1

我的问题是:

• 与 shell=True 相比，使用 shell=False 运行命令有什么作用？
• 我的印象是 subprocess.call 和 check_call 和 check_output 都必须通过 shell 执行参数。换句话说，它怎么可能不通过shell执行参数？

获得一些示例也会有所帮助:

• 可以用 shell=True 完成但不能用的事情shell=False 以及为什么它们不能完成。
• 反之亦然(虽然好像没有这样的例子)
• shell=True 或 False 无关紧要的事情，以及为什么这无关紧要

Answer 1

UNIX 程序通过以下三个调用或派生/等价物相互启动:

• fork() - 创建一个新的自己。
• exec() - 用不同的程序替换您自己(如果您是副本，请执行此操作!)。
• wait() - 等待另一个进程完成(可选，如果不在后台运行)。

因此，使用 shell=False ，你就这样做了(如下面的 Python 语法伪代码——排除 wait() 如果不是阻塞调用，例如 subprocess.call() ):

pid = fork()
if pid == 0: # we're the child process, not the parent
  execlp("ls", "ls", "-l", NUL);
else:
  retval = wait(pid) # we're the parent; wait for the child to exit & get its exit status

而 shell=True ，你这样做:

pid = fork()
if pid == 0:
  execlp("sh", "sh", "-c", "ls -l", NUL);
else:
  retval = wait(pid)

请注意 shell=False ，我们执行的命令是ls ，而使用 shell=True ，我们执行的命令是sh .

---

也就是说:

subprocess.Popen(foo, shell=True)

完全一样:

subprocess.Popen(
  ["sh", "-c"] + ([foo] if isinstance(foo, basestring) else foo),
  shell=False)

也就是说，你执行了一份/bin/sh , 并指示 /bin/sh 的副本将字符串解析为参数列表并执行 ls -l本身。

---

那么，为什么会使用 shell=True ？

• 您正在调用 shell 内置函数。

  例如，exit命令实际上是shell本身的一部分，而不是外部命令。也就是说，这是一个 fairly small set of commands ，并且它们很少在仅在单个 subprocess.call() 期间存在的 shell 实例的上下文中有用。调用。

• 您有一些带有 shell 结构(即重定向)的代码，没有它就很难模拟。

  例如，如果您的命令是 cat one two >three , 语法 >three是一个重定向:它不是 cat 的参数, 但指令 shell 设置 stdout=open('three', 'w')运行命令时 ['cat', 'one', 'two'] .如果您不想自己处理重定向和管道，则需要一个 shell 来完成。

  一个稍微棘手的案例是 cat foo bar | baz .要在没有 shell 的情况下做到这一点，您需要自己启动管道的两侧:p1 = Popen(['cat', 'foo', 'bar'], stdout=PIPE), p2=Popen(['baz'], stdin=p1.stdout) .

• 您根本不在乎安全漏洞。

  ...好吧，那是一点有点太强了，但不是很多。使用 shell=True很危险。你不能这样做:Popen('cat -- %s' % (filename,), shell=True)没有 shell 注入(inject)漏洞:如果您的代码曾被 filename 调用过包含 $(rm -rf ~) ，你会有非常糟糕的一天。另一方面，['cat', '--', filename]对于所有可能的文件名都是安全的:文件名是纯粹的数据，不会被 shell 或其他任何东西解析为源代码。

  可以在 shell 中编写安全脚本，但您需要小心。请考虑以下事项:

  filenames = ['file1', 'file2'] # these can be user-provided
  subprocess.Popen(['cat -- "$@" | baz', '_'] + filenames, shell=True)
  

  该代码是安全的(嗯——就像让用户读取他们想要的任何文件一样安全曾经)，因为它从你的脚本代码中带外传递你的文件名——但是它之所以安全，只是因为传递给 shell 的字符串是固定的和硬编码的，并且参数化的内容是外部变量(filenames 列表)。即便如此，它也只是在一定程度上“安全”——像 Shellshock 这样的错误。在 shell 初始化时触发的那个会像其他任何东西一样影响它。