คุณจะรันกระบวนการภายนอกโดยใช้ child_process อย่างไร

Question

Accepted Answer

โมดูล **`child_process`** ให้ Node สามารถรัน **โปรแกรม/คำสั่งอื่น ๆ** (คำสั่ง shell สคริปต์ ไฟล์ binary อื่น ๆ) เป็นกระบวนการ OS แยกต่างหาก มีประโยชน์สำหรับเรียกใช้เครื่องมือระบบ รันงานหนักของ CPU นอกกระบวนการหลัก หรือจัดเรียงโปรแกรมอื่น ๆ

## สี่วิธีหลัก

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — ง่าย buffered

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` สะดวกสำหรับคำสั่งสั้น แต่บัฟเฟอร์ผลลัพธ์ทั้งหมด — อันตรายสำหรับคำสั่งที่ผลิตผลลัพธ์จำนวนมาก (อาจเกินขีดจำกัดบัฟเฟอร์)

## spawn — streaming (สำหรับผลลัพธ์ขนาดใหญ่/ต่อเนื่อง)

```js
import { spawn } from "child_process";

`spawn` สตรีมผลลัพธ์ตามที่ผลิต (หน่วยความจำคงที่) และรับอาร์กิวเมนต์เป็น **array** (ไม่ใช่สตริง shell) — ตัวเลือกที่เหมาะสมสำหรับกระบวนการที่ทำงานนาน หรือเอาต์พุตสูง

## คำเตือนความปลอดภัย: command injection

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

อย่าแทรกอินพุตที่ไม่น่าเชื่อถือลงในสตริง shell ของ `exec` — มันเปิดใช้งาน **command injection** ใช้ `execFile`/`spawn` ที่มีอาร์เรย์อาร์กิวเมนต์เพื่อให้อินพุตผ่านเป็นข้อมูล ไม่ใช่ไวยากรณ์ shell

## การใช้ Promise

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## ทำไมมันถึงสำคัญ

`child_process` ให้ Node รวมเข้ากับระบบที่กว้างขึ้น — รันเครื่องมือ CLI (git ffmpeg imagemagick) นำงานหนักของ CPU ไปยังกระบวนการแยกต่างหาก (เพื่อหลีกเลี่ยงการบล็อก event loop) และจัดเรียงโปรแกรมอื่น ๆ

การรู้ว่าจะใช้วิธีใด (`spawn` สำหรับ streaming/ผลลัพธ์ขนาดใหญ่ `exec` สำหรับคำสั่งง่าย ๆ `fork` สำหรับ Node subprocesses) และ — สำคัญที่สุด — ความเสี่ยง **command-injection** ของ `exec` กับอินพุตผู้ใช้ (ลดลงโดย `execFile`/`spawn` ที่มีอาร์เรย์ arg) จำเป็นสำหรับการใช้งานอย่างมีประสิทธิภาพและปลอดภัย