Chạy tiến trình ngoài bằng child_process như thế nào?

Question

Accepted Answer

Module **`child_process`** cho phép Node chạy **chương trình/lệnh khác** (lệnh shell, script, binary khác) như các tiến trình OS riêng biệt. Hữu ích để gọi công cụ hệ thống, chạy công việc nặng CPU bên ngoài tiến trình chính, hoặc điều phối chương trình khác.

## Bốn phương thức chính

```text
exec      → chạy lệnh shell, đệm toàn bộ output (đơn giản, output nhỏ)
execFile  → chạy file trực tiếp (không qua shell — an toàn hơn, nhanh hơn)
spawn     → stream output (cho output lớn / tiến trình chạy lâu)
fork      → tạo tiến trình NODE mới với kênh IPC (Node-tới-Node)
```

## exec — đơn giản, có đệm

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // toàn bộ output, được đệm vào bộ nhớ
});
```

`exec` tiện cho lệnh ngắn nhưng đệm toàn bộ output — rủi ro với lệnh tạo output lớn (có thể vượt giới hạn buffer).

## spawn — streaming (cho output lớn/liên tục)

```js
import { spawn } from "child_process";

`spawn` stream output khi nó được tạo ra (bộ nhớ cố định) và nhận tham số dưới dạng **mảng** (không phải chuỗi shell) — lựa chọn đúng cho tiến trình chạy lâu hoặc output lớn.

## Cảnh báo bảo mật: command injection

```js
// ❌ NGUY HIỂM — input người dùng trong lệnh shell cho phép injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → thảm họa

// ✅ dùng execFile/spawn với mảng tham số — không nội suy qua shell
execFile("convert", [userFilename, "out.png"]); // tham số truyền an toàn, không bị shell parse
```

Đừng bao giờ nội suy input không tin cậy vào chuỗi shell của `exec` — nó cho phép **command injection**. Dùng `execFile`/`spawn` với mảng tham số để input được truyền như dữ liệu, không phải cú pháp shell.

## Dùng dựa trên Promise

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## Tại sao điều này quan trọng

`child_process` cho phép Node tích hợp với hệ thống rộng hơn — chạy công cụ CLI (git, ffmpeg, imagemagick), đẩy công việc nặng CPU sang tiến trình riêng (tránh chặn event loop), và điều phối chương trình khác.

Biết phương thức nào nên dùng (`spawn` cho streaming/output lớn, `exec` cho lệnh đơn giản, `fork` cho tiến trình con Node) và — quan trọng — rủi ro **command injection** của `exec` với input người dùng (giảm thiểu bằng `execFile`/`spawn` với mảng tham số) là thiết yếu để dùng nó vừa hiệu quả vừa an toàn.