Wie führen Sie externe Prozesse mit child_process aus?

Question

Accepted Answer

Das Modul **`child_process`** ermöglicht Node, **andere Programme/Befehle** (Shell-Befehle, Skripte, andere Binärdateien) als separate OS-Prozesse auszuführen. Nützlich zum Aufrufen von Systemwerkzeugen, zum Ausführen rechenintensiver Arbeiten außerhalb des Hauptprozesses oder zur Orchestrierung anderer Programme.

## Die vier Hauptmethoden

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — einfach, gepuffert

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` ist praktisch für kurze Befehle, puffert aber alle Ausgaben – riskant für Befehle, die große Ausgaben produzieren (kann die Pufferbegrenzung überschreiten).

## spawn — Streaming (für große/kontinuierliche Ausgabe)

```js
import { spawn } from "child_process";

`spawn` streamt Ausgabe während ihrer Erzeugung (konstanter Speicher) und nimmt Argumente als **Array** (nicht als Shell-String) – die richtige Wahl für langlebige oder hochleistungsfähige Prozesse.

## Warum es wichtig ist

`child_process` ermöglicht Node, sich in das breitere System zu integrieren – CLI-Tools ausführen (git, ffmpeg, imagemagick), rechenintensive Aufgaben auf separate Prozesse auslagern (Blockierung der Event Loop vermeiden) und andere Programme orchestrieren.

Zu wissen, welche Methode zu verwenden ist (`spawn` für Streaming/große Ausgaben, `exec` für einfache Befehle, `fork` für Node-Subprozesse) und – kritisch – das **Befehlsinjektion-Risiko** von `exec` mit Benutzereingaben (durch `execFile`/`spawn` mit Argument-Arrays gemindert) ist für die effektive und sichere Verwendung unverzichtbar.

## Sicherheitswarnung: Befehlsinjektion

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

Ne interpolieren Sie niemals nicht vertrauenswürdige Eingaben in einen `exec` Shell-String – dies ermöglicht **Befehlsinjektion**. Verwenden Sie stattdessen `execFile`/`spawn` mit einem Argument-Array, damit die Eingabe als Daten und nicht als Shell-Syntax übergeben wird.

## Promise-basierte Verwendung

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```