child_process kullanarak harici işlemleri nasıl çalıştırırsınız?

Question

IT Interview Practice · Accepted Answer

**`child_process`** modülü Node'un **diğer programları/komutları** (shell komutları, scriptler, diğer ikililer) ayrı OS işlemleri olarak çalıştırmasına olanak tanır. Sistem araçlarını çağırmak, CPU-ağır işleri ana işlem dışında çalıştırmak veya diğer programları düzenlemek için faydalıdır.

## Dört ana yöntem

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — basit, buffered

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` kısa komutlar için uygun ancak tüm çıktıyı tampona alır — büyük çıktı üreten komutlar için risklidir (buffer sınırını aşabilir).

## spawn — streaming (büyük/sürekli çıktı için)

```js
import { spawn } from "child_process";

`spawn` çıktı üretildikçe akışla (sabit bellek) ve argümanları **dizi** olarak alır (shell dizesi değil) — uzun süreli veya yüksek çıktılı işlemler için doğru seçim.

## Güvenlik uyarısı: command injection

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

Güvenilmeyen girişi `exec` shell dizesine asla eklemeyin — bu **command injection** sağlar. Girişin shell sözdizimi değil veri olarak geçirilmesi için arg dizileriyle `execFile`/`spawn` kullanın.

## Promise tabanlı kullanım

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## Neden önemli

`child_process` Node'un daha geniş sistem ile entegre olmasını sağlar — CLI araçlarını çalıştırmak (git, ffmpeg, imagemagick), CPU-ağır görevleri ayrı işlemlere boşaltmak (event loop'u engellemeyi önlemek) ve diğer programları düzenlemek.

Hangi yöntemi kullanacağınızı bilmek (`spawn` streaming/büyük çıktı için, `exec` basit komutlar için, `fork` Node alt işlemleri için) ve — kritik olarak — kullanıcı girdisiyle `exec` **command injection riski** (arg dizileriyle `execFile`/`spawn` ile azaltılır) bunu hem etkili hem de güvenli bir şekilde kullanmak için gereklidir.

Dört ana yöntem

exec — basit, buffered

spawn — streaming (büyük/sürekli çıktı için)

Güvenlik uyarısı: command injection

Promise tabanlı kullanım

Neden önemli

İlgili sorular