node.js:使用用户输入作为命令行参数是否安全？

Question

我想使用 child_process.execFile(file[, args][, options][, callback]) (node.js) 调用主机服务器上的特定应用程序。 "file"参数是我定义的。将未经 sanitizer 的用户输入传递给“args”参数是否安全？如果不是:如何清理输入？

Answer 1

不，这绝对不安全。用户可以智能地结束命令并执行单独的命令，并且根据 Node 应用程序运行的权限级别，将能够执行大量操作。

我不确定您如何检索用户输入，但是，您应该解析输入以获取特定参数。例如，假设您想传入 arg，您应该从用户输入中获取该值并传递 child_process.execFile(file, arg, ...)。

您可能还应该清理用户输入，这可以通过多种方式完成，包括使用 sanitize library 。通过对输入进行参数化，清理起来会相当简单，同时也限制了可以传入的内容。

================================================== =============================

更新:

理论上，如果您需要允许用户传递任何内容，您可以在某些封闭的环境中启动操作，例如容器，尽管这相当复杂，并且取决于一个人想要的程度破坏你的系统，很有可能被攻击。