在nodejs中，执行外部命令的唯一方法是通过 sys.exec(cmd)。我想调用一个外部命令并通过标准输入给它数据。在nodejs中，似乎还没有一种方法可以打开命令然后将数据推送到它（仅用于执行并接收其标准+错误输出），所以我现在必须这样做的唯一方法是通过单个字符串命令，例如：
var dangerStr = "bad stuff here";
sys.exec("echo '" + dangerStr + "' | somecommand");
此类问题的大多数答案都集中在 nodejs 中对我不起作用的正则表达式（使用 Google 的 V8 Javascript 引擎）或其他语言（如 Python）的本机功能。
我想逃避 dangerStr 以便可以安全地编写像上面那样的 exec 字符串。如果有帮助，dangerStr 将包含 JSON 数据。
这就是我使用的：
var escapeShell = function(cmd) {
return '"'+cmd.replace(/(["'$`\\])/g,'\\$1')+'"';
};
你永远不应该依赖转义未知输入到 shell 参数- 几乎总是有一些你没有想到的边缘情况允许用户在你的服务器上执行任意代码。
Node 支持调用命令并分别传递每个参数，无需转义。这是最安全的方法：
const { spawn } = require('child_process');
// Note that the arguments are in an array, not using string interpolation
const ls = spawn('ls', ['-lh', '/usr']);
ls.stdout.on('data', (data) => {
console.log(`stdout: ${data}`);
});
ls.stderr.on('data', (data) => {
console.log(`stderr: ${data}`);
});
ls.on('close', (code) => {
console.log(`child process exited with code ${code}`);
});
文档在这里
如果您需要简单（但正确）的解决方案，您可以使用：
function escapeShellArg (arg) {
return `'${arg.replace(/'/g, `'\\''`)}'`;
}
因此，正如 Chris Johnsen 所提到的，您的字符串将简单地用单引号转义。
echo 'John'\''s phone';
它适用于bash强引用，感觉它也适用于fish，但不适用于zshand sh。
如果你有bash你可以运行你的脚本sh或zsh使用'bash -c \'' + escape('all-the-rest-escaped') + '\''.
但实际上...... node.js 将为您转义所有需要的字符：
var child = require('child_process')
.spawn('echo', ['`echo 1`;"echo $SSH_TTY;\'\\0{0..5}']);
child.stdout.on('data', function (data) {
console.log('stdout: ' + data);
});
child.stderr.on('data', function (data) {
console.log('stderr: ' + data);
});
这段代码将执行：
echo '`echo 1`;"echo $SSH_TTY;'\''\\0{0..5}'
并将输出：
stdout: `echo 1`;"echo $SSH_TTY;\'\\0{0..5}
或一些错误。
看看http://nodejs.org/api/child_process.html#child_process_child_process_spawn_command_args_options
顺便说一句，运行一堆命令的简单解决方案是：
require('child_process')
.spawn('sh', ['-c', [
'cd all/your/commands',
'ls here',
'echo "and even" > more'
].join('; ')]);
祝你今天过得愉快！
我赞同Will的意见，只要有可能，你应该避免用手逃跑并更喜欢 spawn。
但是，在不可避免的情况下，例如，如果您需要使用 exec 或者您正在通过 ssh 执行命令。然后你可以使用 base64 将安全字符传递给 bash 并依靠 bash 来逃避未知数。
const dangerStr = 'bad stuff here'
// base64 has safe characters [A-Za-z=0-9+/]
const dangerBase64 = btoa(dangerStr)
sys.exec(`echo "$(echo ${dangerBase64} | base64 -d)" | somecommand`)
解释如下：
dangerBase64未知，但它不包含bash中的不安全字符。因此echo ${dangerBase64}将输出我们想要的。
最后，双引号$(echo ${dangerBase64} | base64 -d)转义了用户在 bash 中传递的实际值，这是安全的，并且具有与用户想要的相同的值。
如果您还需要处理特殊字符（换行符等），您可以这样做：
str = JSON.stringify(str)
.replace(/^"|"$/g,'') //remove JSON-string double quotes
.replace(/'/g, '\'"\'"\'') //escape single quotes the ugly bash way
这假设您通过单引号使用 Bash 的强引用）并且接收者可以理解 JSON 的类似 C 的转义。
如果您正在构建自己的软件，您可以将命令编码为 base64 或十六进制格式，然后从程序中解码参数。
对于我使用的 Nodejs 应用程序。
var base64_encode = exports.base64_encode = function(non_base64_string){
return Buffer.from(non_base64_string).toString('base64');
}
var base64_decode = exports.base64_decode = function(base64_string){
return Buffer.from(base64_string, 'base64').toString('ascii')
}
所以当我运行这样的base64编码命令时
webman grep --search "aW5jbHVkZV9vbmNlICRfU0VSVkVSWyJET0NVTUVOVF9ST09UIl0uIi9zZXR0aW5ncy5waHAiOw==" --replacement "JGRvY3VtZW50X3Jvb3QgPSBfX0RJUl9fO3doaWxlKHRydWUpe2lmIChmaWxlX2V4aXN0cygkZG9jdW1lbnRfcm9vdC4iL3NldHRpbmdzLmpzb24iKSl7YnJlYWs7fWVsc2V7JGRvY3VtZW50X3Jvb3Q9ZGlybmFtZSgkZG9jdW1lbnRfcm9vdCk7fX08bmV3bGluZT5pbmNsdWRlX29uY2UgJGRvY3VtZW50X3Jvb3QuIi9zZXR0aW5ncy5waHAiOw=="
我可以毫无压力地search使用replacementbase64_decode
有一种写入外部命令的方法：（process.createChildProcess文档）返回一个带有write方法的对象。createChildProcess虽然不是那么方便，因为它不缓冲标准输出和标准错误，所以你需要事件处理程序来读取块中的输出。
var stdout = "", stderr = "";
var child = process.createChildProcess("someCommand");
child.addListener("output", function (data) {
if (data !== null) {
stdout += data;
}
});
child.addListener("error", function (data) {
if (data !== null) {
stderr += data;
}
});
child.addListener("exit", function (code) {
if (code === 0) {
sys.puts(stdout);
}
else {
// error
}
});
child.write("This goes to someCommand's stdin.");