Làm cách nào để thoát lệnh gọi os.system ()?

Khi sử dụng os.system (), bạn thường phải thoát khỏi tên tệp và các đối số khác được truyền dưới dạng tham số cho lệnh. Tôi có thể làm cái này như thế nào? Tốt hơn là một cái gì đó sẽ hoạt động trên nhiều hệ điều hành / shell nhưng đặc biệt cho bash.

Tôi hiện đang làm những việc sau, nhưng chắc chắn rằng phải có một hàm thư viện cho việc này, hoặc ít nhất là một tùy chọn thanh lịch / mạnh mẽ / hiệu quả hơn:

def sh_escape(s):
   return s.replace("(","\\(").replace(")","\\)").replace(" ","\\ ")

os.system("cat %s | grep something | sort > %s" 
          % (sh_escape(in_filename), 
             sh_escape(out_filename)))

Chỉnh sửa: Tôi đã chấp nhận câu trả lời đơn giản là sử dụng dấu ngoặc kép, không biết tại sao tôi không nghĩ đến điều đó; Tôi đoán vì tôi đến từ Windows ở đâu 'và' cư xử hơi khác một chút.

Về bảo mật, tôi hiểu mối quan tâm này, nhưng trong trường hợp này, tôi quan tâm đến một giải pháp nhanh chóng và dễ dàng mà os.system () cung cấp và nguồn của các chuỗi không phải do người dùng tạo hoặc ít nhất là được nhập bởi người dùng đáng tin cậy (tôi).

Đây là những gì tôi sử dụng:

def shellquote(s):
    return "'" + s.replace("'", "'\\''") + "'"

Trình bao sẽ luôn chấp nhận một tên tệp được trích dẫn và loại bỏ các dấu ngoặc kép xung quanh trước khi chuyển nó đến chương trình được đề cập. Đáng chú ý, điều này tránh được các vấn đề với tên tệp chứa khoảng trắng hoặc bất kỳ loại siêu ký tự shell khó chịu nào khác.

Cập nhật : Nếu bạn đang sử dụng Python 3.3 trở lên, hãy sử dụng shlex.quote thay vì tự sử dụng .

shlex.quote() làm những gì bạn muốn kể từ python 3.

(Sử dụng pipes.quoteđể hỗ trợ cả python 2 và python 3)

Có lẽ bạn có một lý do cụ thể để sử dụng os.system(). Nhưng nếu không, bạn có thể nên sử dụng subprocessmô-đun . Bạn có thể chỉ định các đường ống trực tiếp và tránh sử dụng vỏ.

Sau đây là từ PEP324 :

Replacing shell pipe line
-------------------------

output=`dmesg | grep hda`
==>
p1 = Popen(["dmesg"], stdout=PIPE)
p2 = Popen(["grep", "hda"], stdin=p1.stdout, stdout=PIPE)
output = p2.communicate()[0]

Có lẽ subprocess.list2cmdlinelà một shot tốt hơn?

Lưu ý rằng pipe.quote thực sự bị hỏng trong Python 2.5 và Python 3.1 và không an toàn để sử dụng - Nó không xử lý các đối số có độ dài bằng không.

>>> from pipes import quote
>>> args = ['arg1', '', 'arg3']
>>> print 'mycommand %s' % (' '.join(quote(arg) for arg in args))
mycommand arg1  arg3

Xem vấn đề Python 7476 ; nó đã được sửa trong Python 2.6 và 3.2 và mới hơn.

Để ý : Đây là câu trả lời cho Python 2.7.x.

Theo nguồn , pipes.quote()là một cách để " Trích dẫn đáng tin cậy một chuỗi như một đối số duy nhất cho / bin / sh ". (Mặc dù nó không được chấp nhận kể từ phiên bản 2.7 và cuối cùng đã được công khai trong Python 3.3 dưới dạngshlex.quote() hàm.)

Mặt khác , subprocess.list2cmdline()là một cách để " Dịch một chuỗi các đối số thành một chuỗi dòng lệnh, sử dụng các quy tắc tương tự như thời gian chạy MS C ".

Đây là cách độc lập của nền tảng để trích dẫn các chuỗi cho các dòng lệnh.

import sys
mswindows = (sys.platform == "win32")

if mswindows:
    from subprocess import list2cmdline
    quote_args = list2cmdline
else:
    # POSIX
    from pipes import quote

    def quote_args(seq):
        return ' '.join(quote(arg) for arg in seq)

Sử dụng:

# Quote a single argument
print quote_args(['my argument'])

# Quote multiple arguments
my_args = ['This', 'is', 'my arguments']
print quote_args(my_args)

Tôi tin rằng os.system chỉ gọi bất kỳ lệnh shell nào được cấu hình cho người dùng, vì vậy tôi không nghĩ rằng bạn có thể làm điều đó theo cách độc lập với nền tảng. Lệnh shell của tôi có thể là bất cứ thứ gì từ bash, emacs, ruby, hoặc thậm chí là quake3. Một số chương trình này không mong đợi loại đối số mà bạn đang chuyển cho chúng và ngay cả khi chúng đã làm vậy thì không có gì đảm bảo rằng chúng sẽ thoát theo cùng một cách.

Chức năng tôi sử dụng là:

def quote_argument(argument):
    return '"%s"' % (
        argument
        .replace('\\', '\\\\')
        .replace('"', '\\"')
        .replace('$', '\\$')
        .replace('`', '\\`')
    )

nghĩa là: Tôi luôn đặt đối số trong dấu ngoặc kép, sau đó dấu gạch chéo ngược-trích dẫn các ký tự đặc biệt duy nhất bên trong dấu ngoặc kép.

Nếu bạn sử dụng lệnh hệ thống, tôi sẽ thử và đưa vào danh sách trắng những gì đi vào lệnh gọi os.system () .. Ví dụ: ..

clean_user_input re.sub("[^a-zA-Z]", "", user_input)
os.system("ls %s" % (clean_user_input))

Mô-đun quy trình con là một lựa chọn tốt hơn và tôi khuyên bạn nên cố gắng tránh sử dụng bất kỳ thứ gì như os.system / subprocess nếu có thể.

Câu trả lời thực sự là: Không sử dụng os.system()ngay từ đầu. Sử dụng subprocess.callthay thế và cung cấp các đối số không thoát.