Jak spouštíte externí procesy pomocí child_process?

Question

Accepted Answer

Modul **`child_process`** umožňuje Node spouštět **další programy/příkazy** (shell příkazy, skripty, další binární soubory) jako samostatné OS procesy. Užitečné pro vyvolávání systémových nástrojů, spouštění CPU-těžké práce mimo hlavní proces nebo orchestraci dalších programů.

## Čtyři hlavní metody

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — jednoduchá, uložená v bufferu

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` je vhodná pro krátké příkazy, ale ukládá veškerý výstup do bufferu — riziková pro příkazy produkující velký výstup (může překročit limit bufferu).

## spawn — streamování (pro velký/nepřetržitý výstup)

```js
import { spawn } from "child_process";

`spawn` streamuje výstup tak, jak je produkován (konstantní paměť) a bere argumenty jako **pole** (ne shell string) — správná volba pro dlouhodobě běžící nebo vysokovýkonné procesy.

## Bezpečnostní upozornění: vkládání příkazů

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

Nikdy nevkládejte nedůvěryhodný vstup do shell stringu `exec` — to umožňuje **vkládání příkazů**. Místo toho použijte `execFile`/`spawn` s polem argumentů, takže je vstup předán jako data, ne jako shell syntaxe.

## Použití na základě Promise

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## Proč na tom záleží

`child_process` umožňuje Node integraci se širším systémem — spouštění CLI nástrojů (git, ffmpeg, imagemagick), přesunutí CPU-těžké práce do oddělených procesů (vyhnutí se zablokování event loop) a orchestraci dalších programů.

Znalost toho, kterou metodu použít (`spawn` pro streamování/velký výstup, `exec` pro jednoduché příkazy, `fork` pro Node subprocesy) a — kriticky — **riziko vkládání příkazů** z `exec` s uživatelským vstupem (zmírňované `execFile`/`spawn` s poli argumentů) je nezbytná pro jeho efektivní a bezpečné použití.