如何使用 child_process 运行外部进程？

Question

Accepted Answer

**`child_process`** 模块让 Node 可以将**其他程序/命令**（shell 命令、脚本、其他二进制文件）作为独立的 OS 进程运行。用于调用系统工具、在主进程外运行 CPU 密集型工作或协调其他程序。

## 四种主要方法

```text
exec      → run a shell command, buffer all output (simple, small output)
execFile  → run a file directly (no shell — safer, faster)
spawn     → stream output (for large output / long-running processes)
fork      → spawn a new NODE process with an IPC channel (Node-to-Node)
```

## exec — 简单、缓冲

```js
import { exec } from "child_process";

exec("ls -la", (err, stdout, stderr) => {
  if (err) return console.error(err);
  console.log(stdout); // the entire output, buffered into memory
});
```

`exec` 对于短命令很方便，但会缓冲所有输出 — 对于产生大量输出的命令很危险（可能超出缓冲区限制）。

## spawn — 流式输出（用于大量/持续输出）

```js
import { spawn } from "child_process";

`spawn` 在输出生成时进行流式输出（恒定内存）并将参数作为**数组**接收（不是 shell 字符串） — 对于长期运行或高输出进程的正确选择。

## 安全警告：命令注入

```js
// ❌ DANGEROUS — user input in a shell command enables injection
exec(`convert ${userFilename} out.png`); // userFilename = "; rm -rf /" → disaster

// ✅ use execFile/spawn with an args array — no shell interpolation
execFile("convert", [userFilename, "out.png"]); // args passed safely, not parsed by a shell
```

永远不要将不受信任的输入插入到 `exec` shell 字符串中 — 这会导致**命令注入**。使用带有参数数组的 `execFile`/`spawn`，这样输入作为数据传递，而不是 shell 语法。

## 基于 Promise 的使用

```js
import { promisify } from "util";
const execAsync = promisify(exec);
const { stdout } = await execAsync("git rev-parse HEAD");
```

## 为什么这很重要

`child_process` 让 Node 与更广泛的系统集成 — 运行 CLI 工具（git、ffmpeg、imagemagick）、将 CPU 密集型任务卸载到独立进程（避免阻塞事件循环）以及协调其他程序。

了解使用哪种方法（`spawn` 用于流式/大量输出，`exec` 用于简单命令，`fork` 用于 Node 子进程）以及 — 关键是 — `exec` 与用户输入的**命令注入风险**（由带有参数数组的 `execFile`/`spawn` 缓解）对于有效且安全地使用它至关重要。