Bagaimana Anda menjalankan proses eksternal dengan child_process?

Question

Accepted Answer

Modul **`child_process`** memungkinkan Node menjalankan **program/perintah lain** (perintah shell, skrip, binary lain) sebagai proses OS terpisah. Berguna untuk memanggil alat sistem, menjalankan pekerjaan CPU-berat di luar proses utama, atau mengorkestra program lain.

## Empat metode utama

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — sederhana, buffered

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` mudah untuk perintah pendek tetapi membuffer semua output — berisiko untuk perintah yang menghasilkan output besar (dapat melebihi batas buffer).

## spawn — streaming (untuk output besar/berkelanjutan)

```js
import { spawn } from "child_process";

`spawn` melakukan streaming output saat diproduksi (memori konstan) dan mengambil argumen sebagai **array** (bukan string shell) — pilihan yang tepat untuk proses yang berjalan lama atau output tinggi.

## Peringatan keamanan: command injection

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

Jangan pernah interpolasi input yang tidak dipercaya ke dalam string shell `exec` — ini memungkinkan **command injection**. Gunakan `execFile`/`spawn` dengan array argumen agar input dilewatkan sebagai data, bukan sintaks shell.

## Penggunaan berbasis Promise

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## Mengapa ini penting

`child_process` memungkinkan Node berintegrasi dengan sistem yang lebih luas — menjalankan alat CLI (git, ffmpeg, imagemagick), mengofload pekerjaan CPU-berat ke proses terpisah (menghindari pemblokiran event loop), dan mengorkestra program lain.

Mengetahui metode mana yang digunakan (`spawn` untuk streaming/output besar, `exec` untuk perintah sederhana, `fork` untuk subproses Node) dan — secara kritis — **risiko command injection** dari `exec` dengan input pengguna (dikurangi oleh `execFile`/`spawn` dengan array arg) sangat penting untuk menggunakannya secara efektif dan aman.