Hogyan futtathat külső folyamatokat a child_process segítségével?

Question

IT Interview Practice · Accepted Answer

A **`child_process`** modul lehetővé teszi a Node számára, hogy **más programokat/parancsokat** (shell parancsok, szkriptek, más bináris fájlok) külön OS folyamatként futtasson. Hasznos a rendszereszközök (git, ffmpeg) meghívásához, CPU-igényes munka futtatásához az főfolyamaton kívül, vagy más programok koordinálásához.

## Négy fő módszer

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — egyszerű, pufferelt

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

Az `exec` kényelmes rövid parancsokhoz, de az összes kimenetet puffereli — veszélyes olyan parancsoknak, amelyek nagy kimenetet termelnek (túlléphetik a puffer korlátját).

## spawn — streamelés (nagy/folyamatos kimenethez)

```js
import { spawn } from "child_process";

A `spawn` streameli a kimenetet, ahogy termelődik (állandó memória) és argumentumokat **tömbként** vesz fel (nem shell string) — helyes választás hosszú futású vagy nagy kimeneti folyamatokhoz.

## Biztonsági figyelmeztetés: parancs injekció

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

Soha ne interpolálj nem megbízható bemeneteket az `exec` shell stringjébe — ez lehetővé teszi a **parancs injekciót**. Használj `execFile`/`spawn` funkciót argumentum tömbbel, hogy a bemenet adatként legyen átadva, nem shell szintaxisként.

## Promise alapú használat

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## Miért fontos

A `child_process` lehetővé teszi a Node számára, hogy integrálja a szélesebb rendszert — CLI eszközöket (git, ffmpeg, imagemagick) futtat, CPU-igényes feladatokat külön folyamatokra offloadol (az event loop blokkolásának elkerülése érdekében), és más programokat koordinál.

Annak ismerete, hogy melyik módszert kell használni (`spawn` streameléshez/nagy kimenethez, `exec` egyszerű parancsokhoz, `fork` Node alfolyamatokhoz) és — kritikusan — az `exec` **parancs injekciós kockázata** felhasználói bemenettel (`execFile`/`spawn` arg tömbökkel csökkentve) elengedhetetlen annak hatékony és biztonságos használatához.

Négy fő módszer

exec — egyszerű, pufferelt

spawn — streamelés (nagy/folyamatos kimenethez)

Biztonsági figyelmeztetés: parancs injekció

Promise alapú használat

Miért fontos

Kapcsolódó kérdések