shell = True不安全吗？

Question

我是编码新手，需要一些帮助。我正在编写一个python脚本，它将遍历目录的内容，当它遍历目录时，它会将每个文件发送到蓝牙设备。

如果指定文件名，它可以正常工作，但是我不能通过使用文件名作为变量来使其工作。这是下面的代码

import os
import time
import subprocess

indir = '\\\\10.12.12.218\\myshare'
for  root, dirs, filenames in os.walk(indir):
   for file in filenames:
      print (file)
      subprocess.Popen('ussp-push /dev/rfcomm0 image1.jpg file.jpg', shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
print ('end')

我正在尝试更换＆＃39; image1.jpg＆＃39;在命令中包含变量＆＃39; file＆＃39;如下，但没有成功。

subprocess.Popen('ussp-push /dev/rfcomm0', file, 'file.jpg', shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE)

非常感谢任何帮助。

Answer 1

有几个问题：

shell=True是不必要的。删除它并使用list参数：

import shlex

args = shlex.split('ussp-push /dev/rfcomm0 image1.jpg file.jpg')

您正在尝试将命令行参数作为Popen的单独参数传递。使用Popen(['echo', 'a'])代替Popen('echo', 'a')。后者完全错了。请参阅Popen() function signature in the docs
请勿使用stdout=PIPE和/或stderr=PIPE，除非您从p.stdout / p.stderr管道中读取，否则您的子流程可能会永久阻止OS管道缓冲区
保存对Popen()的引用，以便稍后等待其状态。它是可选的，但它有助于避免创建太多的僵尸

您可以将文件生成部分提取到单独的函数中：

import os

def get_files(indir, extensions=('.jpg', '.png')):
    """Yield all files in `indir` with given `extensions` (case-insensitive)."""
    for root, dirs, files in os.walk(indir):
        for filename in files:
            if filename.casefold().endswith(extensions):
               yield os.path.join(root, filename)

然后并行执行每个文件的命令：

from subprocess import CalledProcessError, Popen

indir = r'\\10.12.12.218\myshare'
commands = [['ussp-push', '/dev/rfcomm0', path] for path in get_files(indir)]

# start all child processes
children = [Popen(cmd) for cmd in commands]

# wait for them to complete, raise an exception if any of subprocesses fail
for process, cmd in zip(children, commands):
    if process.wait() != 0:
       raise CalledProcessError(process.returncode, cmd)

如果您不想并行运行命令，请使用subprocess.call代替subprocess.Popen：

import subprocess

indir = r'\\10.12.12.218\myshare'
statuses = [subprocess.call(['ussp-push', '/dev/rfcomm0', path])
            for path in get_files(indir)]
if any(statuses):
   print('some commands have failed')

一次运行一个命令。

Answer 2

试试这个：

subprocess.Popen(
    ['ussp-push', '/dev/rfcomm0', file, 'file.jpg'],
     stdout=subprocess.PIPE, 
     stderr=subprocess.PIPE)

您想传递给Popen()字符串列表。另一种方法是建立一个空格分离的命令，例如：

subprocess.Popen(
    'ussp-push /dev/rfcomm0 "{0}" file.jpg'.format(file) # replace {0} with file
     stdout=subprocess.PIPE, 
     stderr=subprocess.PIPE)

shell = True不安全吗？

关于shell=True的使用，我想提几点。

在这种情况下，正如 m.wasowski 在评论中指出的那样，没有必要。
shell=True不安全。例如，如果您从用户的输入中获取命令，则用户可以向您传递类似sudo rm -fr /的内容。
这是不安全的，因为一旦调用shell，PATH可能会有所不同。当您发出ls之类的命令时，它可能不是来自通常的地方（/bin/ls），而是来自某些恶意地点，例如/home/evil/bin

话虽如此，shell=True是安全的，如果您可以控制命令，在这种情况下，/dev/rfcomm0 - 您定义命令是什么，而不是从其他地方接收命令。感谢 m.wasowski 提出这一点。

更新

删除shell=True。见评论。

Answer 3

因此，有一堆文件，您希望以每个文件作为参数运行一次命令。我认为以下内容应该运作良好。

import os
import time
import subprocess

indir = '\\\\10.12.12.218\\myshare'
for  root, dirs, filenames in os.walk(indir):
    for file in filenames:
        print 'Sending', os.path.join(root, file)
        subprocess.check_call(['ussp-push', '/dev/rfcomm0', os.path.join(root, file), 'file.jpg'])
print ('end')

以下是我所做的更改：

我使用check_call函数而不是Popen，因为您希望按顺序而不是并行运行命令。 check_call函数使用与Popen相同的参数，但等待进程完成并在进程失败时引发异常。
我传递一个数组（用方括号括起来）作为第一个参数，即check_call的命令。这也意味着不需要 shell 来解释命令字符串，因此我删除了shell=True。此数组中的第一项是命令，其余的是传递给它的命令。
数组中的最后一项是文件的完整路径。 file变量仅保存文件的名称。但是我们需要它的路径，因为它可能位于文件夹的深处（因为你walk递归地）。 os.path.join根据平台中的\或/加入两个字符串。
我还删除了stdout和stderr个参数。这意味着命令的输出和错误将在命令行中出现，这可能就是你想要的。当您想要读取命令的输出并自己处理它而不是在终端中显示它时，stdout和stderr参数是有意义的。

Python - 在subprocess.Popen命令中使用变量

3 个答案:

shell = True不安全吗？

更新