ruby - 使用适当的参数转义从 ruby​​ 调用 shell 命令

Question

我想安全地做以下事情

system "echo '#{params[:message]}' > /dev/log"

调用 native 命令时转义参数的正确方法是什么？

(邪恶输入示例:'; rm -Rf *; echo '我赢了。)

Answer 1

如果你这样做

system "echo", params[:message]

然后第二个参数，将作为参数发送，它不会被执行。