Как вы запускаете внешние процессы с помощью child_process?

Question

Accepted Answer

Модуль **`child_process`** позволяет Node запускать **другие программы/команды** (команды оболочки, скрипты, другие бинарники) как отдельные процессы ОС. Полезен для вызова системных инструментов, запуска ресурсоёмкой работы вне главного процесса или управления другими программами.

## Четыре основных метода

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — простой, буферизированный

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` удобен для коротких команд, но буферизирует весь вывод — рискованно для команд, производящих большой вывод (может превысить лимит буфера).

## spawn — потоковое (для большого/непрерывного вывода)

```js
import { spawn } from "child_process";

`spawn` потоком передает вывод по мере его создания (постоянный объем памяти) и принимает аргументы как **массив** (не строка оболочки) — правильный выбор для долгоживущих или высоконапорных процессов.

## Предупреждение о безопасности: command injection

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

Никогда не интерполируйте ненадёжный ввод в строку оболочки `exec` — это позволяет **command injection**. Используйте `execFile`/`spawn` с массивом аргументов, чтобы ввод передавался как данные, а не синтаксис оболочки.

## Использование на основе Promise

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## Почему это важно

`child_process` позволяет Node интегрироваться с более широкой системой — запуск инструментов CLI (git, ffmpeg, imagemagick), выгрузка ресурсоёмких задач в отдельные процессы (избегание блокировки event loop) и управление другими программами.

Знание того, какой метод использовать (`spawn` для потока/большого вывода, `exec` для простых команд, `fork` для подпроцессов Node) и — критически — **риск command injection** в `exec` с вводом пользователя (смягчен `execFile`/`spawn` с массивами arg) необходимо для его эффективного и безопасного использования.