使用正确的参数转义从ruby调用shell命令

Question

我想安全地执行以下操作

system "echo '#{params[:message]}' > /dev/log"

调用本机命令时转义参数的正确方法是什么？

（示例邪恶输入：'; rm -Rf *; echo 'I won.）

Answer 1

如果你这样做

system "echo", params[:message]

然后第二个参数将作为参数发送，它不会被执行。