child_process로 외부 프로세스를 어떻게 실행하나요?

Question

Accepted Answer

**`child_process`** 모듈은 Node가 **다른 프로그램/명령**(셸 명령, 스크립트, 다른 바이너리)을 별도의 OS 프로세스로 실행할 수 있게 합니다. 시스템 도구 호출, 메인 프로세스 밖에서 CPU 집약적 작업 실행, 다른 프로그램 조율에 유용합니다.

## 네 가지 주요 메서드

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — 간단하고 버퍼링됨

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec`는 짧은 명령에 편리하지만 모든 출력을 버퍼링하므로 큰 출력을 내는 명령에는 위험합니다(버퍼 한도를 초과할 수 있음).

## spawn — 스트리밍(대용량/연속 출력용)

```js
import { spawn } from "child_process";

`spawn`은 출력이 생성되는 대로 스트리밍하고(일정한 메모리), 인자를 (셸 문자열이 아닌) **배열**로 받습니다. 장시간 실행되거나 출력이 많은 프로세스에 적합한 선택입니다.

## 보안 경고: 명령어 주입(command injection)

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

신뢰할 수 없는 입력을 `exec` 셸 문자열에 절대 보간하지 마세요. **명령어 주입**을 가능하게 합니다. `execFile`/`spawn`을 인자 배열과 함께 사용하여 입력이 셸 문법이 아닌 데이터로 전달되게 하세요.

## Promise 기반 사용

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## 왜 중요한가

`child_process`는 Node가 더 넓은 시스템과 통합되게 합니다. CLI 도구(git, ffmpeg, imagemagick) 실행, CPU 집약적 작업을 별도 프로세스로 위임(event loop 블로킹 방지), 다른 프로그램 조율 등입니다.

어떤 메서드를 사용할지(스트리밍/대용량 출력에는 `spawn`, 간단한 명령에는 `exec`, Node 하위 프로세스에는 `fork`)와, 무엇보다 사용자 입력을 사용하는 `exec`의 **명령어 주입 위험**(인자 배열과 함께 `execFile`/`spawn`으로 완화)을 아는 것은 이를 효과적이고 안전하게 사용하는 데 필수적입니다.