Die einfache Möglichkeit , dies richtig zu tun und sicher zu bedienen Open3.capture2(), Open3.capture2e()oder Open3.capture3().
Die Verwendung von Rubys Backticks und seines %xAlias ist unter keinen Umständen sicher, wenn sie mit nicht vertrauenswürdigen Daten verwendet werden. Es ist schlicht und einfach GEFÄHRLICH :
untrusted = "; date; echo"
out = `echo #{untrusted}` # BAD
untrusted = '"; date; echo"'
out = `echo "#{untrusted}"` # BAD
untrusted = "'; date; echo'"
out = `echo '#{untrusted}'` # BAD
Im systemGegensatz dazu entgeht die Funktion Argumenten bei korrekter Verwendung ordnungsgemäß :
ret = system "echo #{untrusted}" # BAD
ret = system 'echo', untrusted # good
Das Problem ist, dass der Exit-Code anstelle der Ausgabe zurückgegeben wird und die Erfassung des letzteren kompliziert und chaotisch ist.
Die beste Antwort in diesem Thread erwähnt bisher Open3, aber nicht die Funktionen, die für die Aufgabe am besten geeignet sind. Open3.capture2, capture2eUnd capture3Arbeit wie system, kehrt aber zwei oder drei Argumente:
out, err, st = Open3.capture3("echo #{untrusted}") # BAD
out, err, st = Open3.capture3('echo', untrusted) # good
out_err, st = Open3.capture2e('echo', untrusted) # good
out, st = Open3.capture2('echo', untrusted) # good
p st.exitstatus
Ein anderer erwähnt IO.popen(). Die Syntax kann in dem Sinne ungeschickt sein, dass ein Array als Eingabe gewünscht wird, aber es funktioniert auch:
out = IO.popen(['echo', untrusted]).read # good
Der Einfachheit halber können Sie Open3.capture3()eine Funktion einschließen , z.
#
# Returns stdout on success, false on failure, nil on error
#
def syscall(*cmd)
begin
stdout, stderr, status = Open3.capture3(*cmd)
status.success? && stdout.slice!(0..-(1 + $/.size)) # strip trailing eol
rescue
end
end
Beispiel:
p system('foo')
p syscall('foo')
p system('which', 'foo')
p syscall('which', 'foo')
p system('which', 'which')
p syscall('which', 'which')
Ergibt folgendes:
nil
nil
false
false
/usr/bin/which <— stdout from system('which', 'which')
true <- p system('which', 'which')
"/usr/bin/which" <- p syscall('which', 'which')