NodeJS 的子进程 args 数组是否清理参数？

Question

假设您正在构建一个基于未经验证的输入运行 shell 命令的应用。

将参数连接为字符串显然存在巨大的安全风险，但args 选项是否也是如此？

文档没有提到任何关于此的内容。我进行了快速测试：

var child = require("child_process");

child.spawn("touch", ["./filename", "&& touch ./hacked"]);

filename 已创建，但 hacked 未创建。这是否意味着我可以在args 数组中插入任何东西并假设它是安全的？

Answer 1

我认为你看到的问题不是它正在为你清理你的输入，我认为你不能在你的论点中使用空格。看到这个answer。

我在网上找不到任何迹象表明您的孩子产生的论点已被清除。