Kaip paleisti išorinius procesus naudojant child_process?

Question

Accepted Answer

**`child_process`** modulis leidžia Node paleisti **kitus programas/komandas** (shell komandas, skriptus, kitus dvejetainius failus) kaip atskirus OS procesus. Naudingas sisteminių įrankių iškviečimui, CPU-jėm reikalaujančio darbo paleisimui už pagrindinį procesą arba kitų programų koordinavimui.

## Keturi pagrindiniai metodai

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — paprastai, su buferiu

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` patogu trumpoms komandoms, bet surenka visą išvestį į buferį — rizikinga komandoms, kurios sukuria didelę išvestį (gali viršyti buferyje ribą).

## spawn — sraute (didelei/nuolatinei išvestei)

```js
import { spawn } from "child_process";

`spawn` sraute perduoda išvestį, kai ji sukuriama (pastovi atmintis) ir bando argumentus kaip **masyvą** (ne shell eilutę) — tinkamas pasirinkimas ilgatumiams arba didelės išvesties procesams.

## Saugumo perspėjimas: komandos injeksija

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

Niekada nekeiskite nepasitikėtinos įvesties į `exec` shell eilutę — tai suaktyvina **komandos injekciją**. Naudokite `execFile`/`spawn` su argumentų masyvu, kad įvestis būtų perduota kaip duomenys, o ne shell sintaksė.

## Pagrindu pagal Promise'ą

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## Kodėl tai svarbu

`child_process` leidžia Node integruotis su platesne sistema — paleisti CLI įrankius (git, ffmpeg, imagemagick), perkelti CPU-jėm reikalaujantį darbą į atskirus procesus (nepakenkti event loop'ui) ir koordinuoti kitas programas.

Žinoti, kurį metodą naudoti (`spawn` srauto/didelei išvestiai, `exec` paprastoms komandoms, `fork` Node subprocesams) ir — kritiškai — **komandos injekcijavimo riziką** `exec` su vartotojo įvestimi (sumažintą `execFile`/`spawn` su argumentų masyvais) yra būtina norint jį naudoti veiksmingai ir saugiai.