Jak uruchamiasz procesy zewnętrzne za pomocą child_process?

Question

Accepted Answer

Moduł **`child_process`** umożliwia Node uruchomienie **innych programów/poleceń** (poleceń powłoki, skryptów, innych plików binarnych) jako oddzielne procesy OS. Przydatne do wywoływania narzędzi systemowych, uruchamiania pracochłonnych zadań poza głównym procesem lub organizowania innych programów.

## Cztery główne metody

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — proste, buforowane

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` jest wygodny dla krótkich poleceń, ale buforuje całe wyjście — ryzykowne dla poleceń generujących duże wyjście (może przekroczyć limit buforu).

## spawn — przesyłanie strumieniowe (dla dużego/ciągłego wyjścia)

```js
import { spawn } from "child_process";

`spawn` przesyła wyjście w miarę jego generowania (stały zużytek pamięci) i przyjmuje argumenty jako **tablicę** (nie ciąg powłoki) — właściwy wybór dla długotrwałych procesów lub procesów o dużym wyjściu.

## Ostrzeżenie dotyczące bezpieczeństwa: command injection

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

Nigdy nie interpoluj niezaufanych danych w ciągu powłoki `exec` — umożliwia to **command injection**. Użyj `execFile`/`spawn` z tablicą argumentów, aby dane wejściowe były przekazane jako dane, a nie składnia powłoki.

## Użycie oparte na Promise

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## Dlaczego to ważne

`child_process` umożliwia Node integrację z szerszym systemem — uruchamianie narzędzi CLI (git, ffmpeg, imagemagick), przenoszenie CPU-intensywnych zadań do oddzielnych procesów (unikanie blokowania pętli zdarzeń) i organizowanie innych programów.

Znajomość metody do użycia (`spawn` dla przesyłania strumieniowego/dużego wyjścia, `exec` dla prostych poleceń, `fork` dla podprocesów Node) i — krytycznie — **ryzyka command injection** `exec` z danymi użytkownika (zmniejszone przez `execFile`/`spawn` z tablicami arg) jest niezbędna do używania go zarówno efektywnie, jak i bezpiecznie.