Wie entkomme ich os.system () -Aufrufen?

Bei Verwendung von os.system () müssen häufig Dateinamen und andere Argumente maskiert werden, die als Parameter an Befehle übergeben werden. Wie kann ich das machen? Am besten etwas, das auf mehreren Betriebssystemen / Shells funktioniert, aber insbesondere für Bash.

Ich mache derzeit Folgendes, bin mir aber sicher, dass es dafür eine Bibliotheksfunktion oder zumindest eine elegantere / robustere / effizientere Option geben muss:

def sh_escape(s):
   return s.replace("(","\\(").replace(")","\\)").replace(" ","\\ ")

os.system("cat %s | grep something | sort > %s" 
          % (sh_escape(in_filename), 
             sh_escape(out_filename)))

Bearbeiten: Ich habe die einfache Antwort der Verwendung von Anführungszeichen akzeptiert, weiß nicht, warum ich nicht daran gedacht habe; Ich denke, weil ich von Windows kam, wo 'und "sich ein wenig anders verhalten.

In Bezug auf die Sicherheit verstehe ich das Problem, aber in diesem Fall bin ich an einer schnellen und einfachen Lösung interessiert, die os.system () bietet, und die Quelle der Zeichenfolgen wird entweder nicht vom Benutzer generiert oder zumindest von a eingegeben vertrauenswürdiger Benutzer (ich).

Das benutze ich:

def shellquote(s):
    return "'" + s.replace("'", "'\\''") + "'"

Die Shell akzeptiert immer einen Dateinamen in Anführungszeichen und entfernt die umgebenden Anführungszeichen, bevor sie an das betreffende Programm übergeben wird. Dies vermeidet insbesondere Probleme mit Dateinamen, die Leerzeichen oder andere böse Shell-Metazeichen enthalten.

Update : Wenn Sie Python 3.3 oder höher verwenden, verwenden Sie shlex.quote, anstatt Ihre eigene zu rollen.

shlex.quote() macht was du willst seit python 3.

(Verwenden Sie pipes.quotediese Option , um sowohl Python 2 als auch Python 3 zu unterstützen.)

Vielleicht haben Sie einen bestimmten Grund für die Verwendung os.system(). Wenn nicht, sollten Sie das subprocessModul wahrscheinlich verwenden . Sie können die Pipes direkt angeben und die Verwendung der Shell vermeiden.

Folgendes stammt aus PEP324 :

Replacing shell pipe line
-------------------------

output=`dmesg | grep hda`
==>
p1 = Popen(["dmesg"], stdout=PIPE)
p2 = Popen(["grep", "hda"], stdin=p1.stdout, stdout=PIPE)
output = p2.communicate()[0]

Vielleicht subprocess.list2cmdlineist ein besserer Schuss?

Beachten Sie, dass pipes.quote in Python 2.5 und Python 3.1 tatsächlich fehlerhaft und nicht sicher zu verwenden ist. Es werden keine Argumente mit der Länge Null verarbeitet.

>>> from pipes import quote
>>> args = ['arg1', '', 'arg3']
>>> print 'mycommand %s' % (' '.join(quote(arg) for arg in args))
mycommand arg1  arg3

Siehe Python-Ausgabe 7476 ; Es wurde in Python 2.6 und 3.2 und höher behoben.

Hinweis : Dies ist eine Antwort für Python 2.7.x.

Laut der Quelle gibt pipes.quote()es eine Möglichkeit, " einen String zuverlässig als einzelnes Argument für / bin / sh zu zitieren ". (Obwohl es seit Version 2.7 veraltet ist und schließlich öffentlich in Python 3.3 als shlex.quote()Funktion verfügbar gemacht wurde .)

Auf der anderen Seite gibt subprocess.list2cmdline()es eine Möglichkeit, " eine Folge von Argumenten in eine Befehlszeilenzeichenfolge zu übersetzen, wobei dieselben Regeln wie für die MS C-Laufzeit verwendet werden ".

Hier sind wir, die plattformunabhängige Methode zum Zitieren von Zeichenfolgen für Befehlszeilen.

import sys
mswindows = (sys.platform == "win32")

if mswindows:
    from subprocess import list2cmdline
    quote_args = list2cmdline
else:
    # POSIX
    from pipes import quote

    def quote_args(seq):
        return ' '.join(quote(arg) for arg in seq)

Verwendung:

# Quote a single argument
print quote_args(['my argument'])

# Quote multiple arguments
my_args = ['This', 'is', 'my arguments']
print quote_args(my_args)

Ich glaube, dass os.system nur die für den Benutzer konfigurierte Befehlsshell aufruft, daher glaube ich nicht, dass Sie dies plattformunabhängig tun können. Meine Befehlsshell kann alles von Bash, Emacs, Ruby oder sogar Quake3 sein. Einige dieser Programme erwarten nicht die Art von Argumenten, die Sie an sie weitergeben, und selbst wenn dies der Fall ist, gibt es keine Garantie dafür, dass sie auf die gleiche Weise entkommen.

Die Funktion, die ich benutze, ist:

def quote_argument(argument):
    return '"%s"' % (
        argument
        .replace('\\', '\\\\')
        .replace('"', '\\"')
        .replace('$', '\\$')
        .replace('`', '\\`')
    )

Das heißt: Ich füge das Argument immer in doppelte Anführungszeichen ein und zitiere dann die einzigen Sonderzeichen in doppelten Anführungszeichen.

Wenn Sie den Systembefehl verwenden, würde ich versuchen, eine Whitelist für den Aufruf von os.system () zu erstellen. Zum Beispiel.

clean_user_input re.sub("[^a-zA-Z]", "", user_input)
os.system("ls %s" % (clean_user_input))

Das Unterprozessmodul ist eine bessere Option, und ich würde empfehlen, die Verwendung von os.system / subprocess nach Möglichkeit zu vermeiden.

Die wirkliche Antwort lautet: Nicht os.system()in erster Linie verwenden. Verwenden Sie subprocess.callstattdessen und geben Sie die nicht entkoppelten Argumente an.