os.system() 呼び出しでのコマンド引数のエスケープ

Python で os.system() を使用する場合、適切な引数処理を確保する必要があります。重要な。多くの場合、ファイルやその他のパラメーターは、シェルのコマンドとの干渉を防ぐためにエスケープする必要があります。ここでは、さまざまなオペレーティング システムとシェル、特に bash の引数を効果的にエスケープするための包括的なガイドを示します。

引用符の使用

最も簡単な解決策は、引数を引用符で囲むことです。一重引用符 (') はシェルの展開を防ぎ、二重引用符 (") は変数の置換を許可しますが、引用符で囲まれた文字列内の変数の展開は抑制します。このアプローチは、bash:

os.system("cat '%s' | grep something | sort > '%s'" 
          % (in_filename, out_filename))

shlex モジュールの使用

Python は、この目的のために特別に設計された shlex モジュールを提供します。その quote() 関数は、bash:

import shlex

escaped_in_filename = shlex.quote(in_filename)
escaped_out_filename = shlex.quote(out_filename)
os.system("cat {} | grep something | sort > {}".format(
          escaped_in_filename, escaped_out_filename))

パイプモジュールの使用 (非推奨の警告!)

Python バージョン 2.x および 3.x から 3.10 までの場合、pipes.quote から非推奨のパイプモジュールは shlex.quote の代わりに使用できます。 Python 3.11 以降、パイプは削除対象としてマークされていることに注意してください:

from pipes import quote

escaped_in_filename = quote(in_filename)
escaped_out_filename = quote(out_filename)
os.system("cat {} | grep something | sort > {}".format(
          escaped_in_filename, escaped_out_filename))

原則として、セキュリティ上の理由から、適切な検証とサニタイズを行わずに、ユーザーが生成した入力をシステム コールに直接組み込むべきではありません。