java - 在 java 中转义 Shell 命令？

Question

我有一个 web 服务，它将从经过身份验证的机器获取一些输入作为 XML(这是用于我正在与其他软件集成的网络管理系统)并执行一个 shell 脚本，其中一些 XML 数据作为参数。

在 Java(/Linux) 中，转义 shell 命令以确保某人无法将恶意参数传递到我的网络服务的最佳方法是什么？

基本上在一个极其简化的示例中，我通过 WS 接收一些输入

<foo>
<bar>ABCDEF</bar>
</foo>

then running somescript.pl <<data in <bar> field>> here

我需要确保这不能用于执行任意 shell 命令等。

谢谢!

Answer 1

我建议使用 ProcessBuilder 或 Runtime.exec 方法之一不通过 shell 运行因此不需要 shell 转义 避免注入(inject)攻击(此处)。

• ProcessBuilder -- 比 Runtime.exec 更灵活。

• Runtime.exec(String[]) -- 不同于仅采用 String

的形式

考虑使用进程的 STDIN 管道传输 XML 数据也可能有益——Perl 可以轻松处理从 STDIN 读取数据。命令行参数通常有限制。

快乐编码。