python - 从代码注入(inject)中传递给子进程的参数是否安全？

Question

通过代码注入(inject)传递给子进程的参数是否安全？

我正在构建一个小的 python 程序来做一些电影文件标记。为方便起见，我使用 subprocess.call() 将标记信息传递给 AtomicParsley(在 Windows 上)。标签信息是在线资源，自动检索。如果有人将代码放在标签中(即用某种 rd 术语替换参与者)，子进程是否可以安全地执行？这更像是一个概念性问题，而不是关于语言细节的问题。

subprocess.call 使用 ['AtomicParsley',filename,'--tag1',tag1_info,(...)] 执行。由于命令的第一部分保证是 AP 可执行文件的名称，第二部分保证是有效的文件名，我认为元信息数据库中的任何恶意代码都将作为字符串写入适当的标签(即 Actor 的名称将是 del C:\Windows)。这些假设看起来合理吗？

Answer 1

只要您使用参数列表并将 shell 设置为 False，是的，这些参数不会被代码注入(inject)。它们不会被 shell 解析，因此不会受到任何代码执行机会的影响。

请注意，在 Windows 上，使用 CreateProcess 调用的事实已经降低了使用代码注入(inject)的机会。