child_process モジュールを使うと、Node から他のプログラムやコマンド（シェルコマンド、スクリプト、他のバイナリ）を独立した OS プロセスとして実行できます。システムツールの呼び出し、CPU 負荷の高い処理をメインプロセスの外で実行すること、他のプログラムのオーケストレーションなどに役立ちます。
exec → シェルコマンドを実行し、出力をすべてバッファリング（シンプル、小さな出力向け）
execFile → ファイルを直接実行（シェルを介さない — より安全で高速）
spawn → 出力をストリーミング（大きな出力 / 長時間実行プロセス向け）
fork → IPC チャネル付きで新しい NODE プロセスを生成（Node 間通信）
import { exec } from "child_process";
exec("ls -la", (err, stdout, stderr) => {
if (err) return console.error(err);
console.log(stdout); // 出力全体をメモリにバッファリングしたもの
});
exec は短いコマンドには便利ですが、出力をすべてバッファリングするため、大きな出力を生成するコマンドにはリスクがあります（バッファ上限を超える可能性があります）。
import { spawn } from "child_process";
const child = spawn("ffmpeg", ["-i", "in.mp4", "out.avi"]); // 引数は配列で渡す
child.stdout.on("data", (chunk) => console.log(`out: ${chunk}`)); // ストリーミング
child.stderr.on("data", (chunk) => console.error(`err: ${chunk}`));
child.on("close", (code) => console.log(`exited with ${code}`));
spawn は生成された出力を逐次ストリーミングし（メモリ消費が一定）、引数をシェル文字列ではなく配列として受け取ります。長時間実行や大量出力のプロセスに適した選択肢です。
// ❌ 危険 — シェルコマンドにユーザー入力を含めるとインジェクションが可能になる
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → 大惨事
// ✅ execFile/spawn を引数配列とともに使う — シェルによる展開が行われない
execFile("convert", [userFilename, "out.png"]); // 引数は安全に渡され、シェルで解釈されない
信頼できない入力を exec のシェル文字列に決して埋め込まないでください。コマンドインジェクションを許してしまいます。execFile/spawn を引数配列とともに使い、入力をシェル構文ではなくデータとして渡しましょう。
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
child_process によって Node はより広いシステムと統合できます。CLI ツール（git、ffmpeg、imagemagick）の実行、CPU 負荷の高いタスクを別プロセスにオフロードすること（イベントループのブロックを回避）、他のプログラムのオーケストレーションが可能になります。
どのメソッドを使うか（ストリーミング / 大きな出力には spawn、シンプルなコマンドには exec、Node のサブプロセスには fork）を知ること、そして決定的に重要な、ユーザー入力を伴う exec のコマンドインジェクションのリスク（execFile/spawn と引数配列で緩和できる）を理解することは、これを効果的かつ安全に使ううえで不可欠です。