Os.system () çağrılarından nasıl kaçılır?

Os.system () kullanılırken genellikle dosya adlarından ve komutlara parametre olarak geçirilen diğer argümanlardan kaçınmak gerekir. Bunu nasıl yapabilirim? Tercihen birden çok işletim sistemi / kabuk üzerinde ama özellikle bash için çalışacak bir şey.

Şu anda aşağıdakileri yapıyorum, ancak bunun için bir kitaplık işlevi veya en azından daha zarif / sağlam / verimli bir seçenek olması gerektiğinden eminim:

def sh_escape(s):
   return s.replace("(","\\(").replace(")","\\)").replace(" ","\\ ")

os.system("cat %s | grep something | sort > %s" 
          % (sh_escape(in_filename), 
             sh_escape(out_filename)))

Düzenleme: Alıntı kullanmanın basit cevabını kabul ettim, neden bunu düşünmediğimi bilmiyorum; Sanırım Windows'dan geldiğim için 've "biraz farklı davranıyorum.

Güvenlikle ilgili olarak endişeyi anlıyorum, ancak bu durumda os.system () 'in sağladığı hızlı ve kolay bir çözümle ilgileniyorum ve dizelerin kaynağı ya kullanıcı tarafından oluşturulmamış ya da en azından bir güvenilen kullanıcı (ben).

Kullandığım şey bu:

def shellquote(s):
    return "'" + s.replace("'", "'\\''") + "'"

Kabuk, alıntılanan bir dosya adını her zaman kabul eder ve söz konusu programa aktarmadan önce çevredeki tırnak işaretlerini kaldırır. Özellikle bu, boşluklar veya diğer kötü kabuk meta karakterleri içeren dosya adlarıyla ilgili sorunları önler.

Güncelleme : Python 3.3 veya sonraki bir sürümünü kullanıyorsanız, kendinizinkini döndürmek yerine shlex.quote kullanın.

shlex.quote() python 3'ten beri istediğinizi yapar.

( pipes.quoteHem python 2'yi hem de python 3'ü desteklemek için kullanın )

Belki kullanmak için belirli bir nedeniniz vardır os.system(). Ama değilse, muhtemelen subprocessmodülü kullanıyor olmalısın . Boruları doğrudan belirleyebilir ve kabuğu kullanmaktan kaçınabilirsiniz.

Aşağıdakiler PEP324'ten alınmıştır :

Replacing shell pipe line
-------------------------

output=`dmesg | grep hda`
==>
p1 = Popen(["dmesg"], stdout=PIPE)
p2 = Popen(["grep", "hda"], stdin=p1.stdout, stdout=PIPE)
output = p2.communicate()[0]

Belki subprocess.list2cmdlinedaha iyi bir atıştır?

Pipetler.quote'un Python 2.5 ve Python 3.1'de gerçekten bozuk olduğunu ve kullanımının güvenli olmadığını unutmayın - Sıfır uzunluklu argümanları işlemez.

>>> from pipes import quote
>>> args = ['arg1', '', 'arg3']
>>> print 'mycommand %s' % (' '.join(quote(arg) for arg in args))
mycommand arg1  arg3

Bkz Python sorunu 7476 ; Python 2.6 ve 3.2 ve daha yeni sürümlerde düzeltildi.

Farkına varmak : Bu Python 2.7.x için bir cevaptır.

Kaynağa göre , pipes.quote()" Bir dizeyi / bin / sh için tek bir bağımsız değişken olarak güvenilir şekilde alıntı yapmanın" bir yoludur . ( 2.7 sürümünden beri kullanımdan kaldırılmış ve nihayet Python 3.3'te genel olarakshlex.quote() işlev .)

Öte yandan , subprocess.list2cmdline()" MS C çalışma zamanıyla aynı kuralları kullanarak bir dizi bağımsız değişkeni komut satırı dizesine çevirmenin " bir yoludur .

Komut satırları için dizelerden alıntı yapmanın platformdan bağımsız yoluyuz.

import sys
mswindows = (sys.platform == "win32")

if mswindows:
    from subprocess import list2cmdline
    quote_args = list2cmdline
else:
    # POSIX
    from pipes import quote

    def quote_args(seq):
        return ' '.join(quote(arg) for arg in seq)

Kullanımı:

# Quote a single argument
print quote_args(['my argument'])

# Quote multiple arguments
my_args = ['This', 'is', 'my arguments']
print quote_args(my_args)

Os.system'in kullanıcı için yapılandırılan komut kabuğunu çağırdığına inanıyorum, bu yüzden bunu platformdan bağımsız bir şekilde yapabileceğinizi düşünmüyorum. Komut kabuğum bash, emacs, ruby ​​ve hatta quake3'ten herhangi bir şey olabilir. Bu programlardan bazıları, onlara ilettiğiniz türden argümanları beklemiyor ve yapmış olsalar bile, kaçışlarını aynı şekilde yapacaklarının garantisi yok.

Kullandığım işlev:

def quote_argument(argument):
    return '"%s"' % (
        argument
        .replace('\\', '\\\\')
        .replace('"', '\\"')
        .replace('$', '\\$')
        .replace('`', '\\`')
    )

yani, argümanı her zaman çift tırnak içine alırım ve sonra çift tırnak içindeki özel karakterleri ters eğik çizgi ile alıntı yaparım.

Sistem komutunu kullanırsanız, os.system () çağrısına nelerin girildiğini beyaz listeye almaya çalışırdım .. Örneğin ..

clean_user_input re.sub("[^a-zA-Z]", "", user_input)
os.system("ls %s" % (clean_user_input))

Alt işlem modülü daha iyi bir seçenektir ve mümkün olan her yerde os.system / subprocess gibi herhangi bir şeyi kullanmaktan kaçınmanızı tavsiye ederim.

Gerçek cevap şudur: os.system()İlk etapta kullanmayın . subprocess.callBunun yerine, çıkış karaktersiz bağımsız değişkenleri kullanın .