Devriez-vous utiliser « shell=True » avec le module « subprocess » de Python ?

L'importance de 'shell=True' dans le module de sous-processus

Le module de sous-processus facilite l'exécution de divers processus. Cependant, comprendre le rôle du paramètre 'shell=True' est crucial.

Considérez les extraits de code ci-dessous :

callProcess = subprocess.Popen(['ls', '-l'], shell=True)

callProcess = subprocess.Popen(['ls', '-l']) # without shell

Les deux blocs de code exécutent la commande 'ls -l' , mais la présence de 'shell=True' dans le premier code a un impact significatif. Lorsque 'shell=True', la commande est exécutée via le shell du système (spécifié par la variable d'environnement SHELL sur POSIX, cmd.exe sous Windows). En revanche, sans « shell », le processus est directement lancé.

Avantages de l'utilisation de Shell :

• Extension des variables d'environnement : Le shell interprète et développe les variables d'environnement, telles que $HOME, dans la commande.
• Fichier Extension glob : Sur les systèmes POSIX, les fichiers globs (par exemple, ".") sont étendus en une liste de fichiers par le shell.

Avantages de Ne pas utiliser Shell :

• Évite le programme mystère invocation : Sans le shell, le programme exact exécuté est connu, évitant ainsi les variations potentielles contrôlées par l'utilisateur.
• Protège contre les attaques ILS : Exploitation des vulnérabilités d'interprétation du shell (par exemple, injection de commande par inadvertance ) est atténué.

Recommandé Pratique :

De manière générale, il est conseillé d'utiliser 'shell=False' pour les raisons suivantes :

• Sécurité : Évite les exploits potentiels.
• Transparence : Exécute directement le programme spécifié sans introduire aucune autre interprétation couche.
• Efficacité : Peut être plus rapide, en particulier avec des commandes simples.

Par conséquent, à moins que l'expansion des variables d'environnement ou l'expansion des fichiers glob ne soit explicitement requise, il est Il est recommandé d'utiliser 'shell=False' pour plus de sécurité et d'efficacité.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!