Kuinka ajatat ulkoisia prosesseja child_process-modulilla?

Question

Accepted Answer

**`child_process`** moduuli antaa Node:lle mahdollisuuden ajaa **muita ohjelmia/komentoja** (shell-komentoja, skriptejä, muita binaareja) erillisinä OS-prosesseina. Hyötyä järjestelmätyökalujen kutsumisesta, raskaan CPU-työn ajamisesta pääprosessin ulkopuolella tai muiden ohjelmien orkestroinnista.

## Neljä päämetodia

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — yksinkertainen, puskuroitu

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` on kätevä lyhyille komennoille, mutta puskuroi kaikki tuloste — riskialtista komennoille, jotka tuottavat suuren tulostteen (voi ylittää puskurin rajan).

## spawn — suoratoisto (suurille/jatkuville tulostteille)

```js
import { spawn } from "child_process";

`spawn` suoratoistaa tulostteen sitä mukaa kun sitä tuotetaan (vakio muisti) ja ottaa argumentit **taulukkona** (ei shell-merkkijonona) — oikea valinta pitkäkestoisille tai suuritulotteisille prosesseille.

## Turvallisuusvaroitus: komennon injektio

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

Älä koskaan sijoita epäluotettavaa syötettä `exec` shell-merkkijonoon — se mahdollistaa **komennon injektioin**. Käytä `execFile`/`spawn` argumenttitaulukon kanssa, jotta syöte välittyy datana, ei shell-syntaksina.

## Promise-pohjainen käyttö

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## Miksi se on tärkeää

`child_process` antaa Node:lle mahdollisuuden integroitua laajemmin järjestelmään — CLI-työkalujen ajamiseen (git, ffmpeg, imagemagick), raskaan CPU-työn siirtämiseen erillisiin prosesseihin (event loopin esto vältetään) ja muiden ohjelmien orkestroinnista.

Tietämys siitä, mitä metodia käyttää (`spawn` suoratoistoon/suurelle tulostteelle, `exec` yksinkertaisille komennoille, `fork` Node-aliprosesseille) ja — kriittisesti — `exec`:n **komennon injektiovaara** käyttäjän syötteellä (`execFile`/`spawn` argument-taulukoilla lievennetty) on välttämätöntä käyttää sitä sekä tehokkaasti että turvallisesti.