Come sfuggire alle chiamate os.system ()?

Quando si usa os.system () è spesso necessario sfuggire ai nomi dei file e ad altri argomenti passati come parametri ai comandi. Come posso fare questo? Preferibilmente qualcosa che funzioni su più sistemi operativi / shell, ma in particolare per bash.

Attualmente sto facendo quanto segue, ma sono sicuro che ci deve essere una funzione di libreria per questo, o almeno un'opzione più elegante / robusta / efficiente:

def sh_escape(s):
   return s.replace("(","\\(").replace(")","\\)").replace(" ","\\ ")

os.system("cat %s | grep something | sort > %s" 
          % (sh_escape(in_filename), 
             sh_escape(out_filename)))

Modifica: ho accettato la semplice risposta di usare le virgolette, non so perché non ci ho pensato; Immagino perché vengo da Windows dove "e" si comportano in modo leggermente diverso.

Per quanto riguarda la sicurezza, capisco la preoccupazione, ma, in questo caso, sono interessato a una soluzione semplice e veloce fornita da os.system () e la fonte delle stringhe non è generata dall'utente o almeno inserita da un utente fidato (io).

Questo è quello che uso:

def shellquote(s):
    return "'" + s.replace("'", "'\\''") + "'"

La shell accetterà sempre un nome di file tra virgolette e rimuoverà le virgolette circostanti prima di passarlo al programma in questione. In particolare, questo evita problemi con nomi di file che contengono spazi o qualsiasi altro tipo di metacarattere di shell sgradevole.

Aggiornamento : se stai usando Python 3.3 o successivo, usa shlex.quote invece di lanciarne uno tuo.

shlex.quote() fa quello che vuoi da python 3.

(Utilizzare pipes.quoteper supportare sia python 2 che python 3)

Forse hai un motivo specifico per utilizzare os.system(). Ma in caso contrario dovresti probabilmente usare il subprocessmodulo . È possibile specificare direttamente le pipe ed evitare di utilizzare la shell.

Quanto segue è da PEP324 :

Replacing shell pipe line
-------------------------

output=`dmesg | grep hda`
==>
p1 = Popen(["dmesg"], stdout=PIPE)
p2 = Popen(["grep", "hda"], stdin=p1.stdout, stdout=PIPE)
output = p2.communicate()[0]

Forse subprocess.list2cmdlineè uno scatto migliore?

Nota che pipe.quote è effettivamente rotto in Python 2.5 e Python 3.1 e non è sicuro da usare - Non gestisce argomenti di lunghezza zero.

>>> from pipes import quote
>>> args = ['arg1', '', 'arg3']
>>> print 'mycommand %s' % (' '.join(quote(arg) for arg in args))
mycommand arg1  arg3

Vedi Python problema 7476 ; è stato corretto in Python 2.6 e 3.2 e successivi.

Avviso : questa è una risposta per Python 2.7.x.

Secondo la fonte , pipes.quote()è un modo per " Citare in modo affidabile una stringa come singolo argomento per / bin / sh ". (Sebbene sia deprecato dalla versione 2.7 e infine esposto pubblicamente in Python 3.3 comeshlex.quote() funzione.)

D' altra parte , subprocess.list2cmdline()è un modo per " tradurre una sequenza di argomenti in una stringa della riga di comando, utilizzando le stesse regole del runtime di MS C ".

Eccoci qui, il modo indipendente dalla piattaforma di quotare le stringhe per le righe di comando.

import sys
mswindows = (sys.platform == "win32")

if mswindows:
    from subprocess import list2cmdline
    quote_args = list2cmdline
else:
    # POSIX
    from pipes import quote

    def quote_args(seq):
        return ' '.join(quote(arg) for arg in seq)

Uso:

# Quote a single argument
print quote_args(['my argument'])

# Quote multiple arguments
my_args = ['This', 'is', 'my arguments']
print quote_args(my_args)

Credo che os.system invoca semplicemente la shell dei comandi configurata per l'utente, quindi non penso che tu possa farlo in modo indipendente dalla piattaforma. La mia shell dei comandi potrebbe essere qualsiasi cosa da bash, emacs, ruby ​​o persino quake3. Alcuni di questi programmi non si aspettano il tipo di argomenti che stai passando loro e anche se lo facessero, non c'è alcuna garanzia che scappino allo stesso modo.

La funzione che utilizzo è:

def quote_argument(argument):
    return '"%s"' % (
        argument
        .replace('\\', '\\\\')
        .replace('"', '\\"')
        .replace('$', '\\$')
        .replace('`', '\\`')
    )

ovvero: racchiudo sempre l'argomento tra virgolette doppie, quindi tra virgolette doppie gli unici caratteri speciali tra virgolette.

Se usi il comando di sistema, proverei a inserire nella whitelist ciò che entra nella chiamata os.system () .. Ad esempio ..

clean_user_input re.sub("[^a-zA-Z]", "", user_input)
os.system("ls %s" % (clean_user_input))

Il modulo subprocess è un'opzione migliore e consiglierei di evitare di usare qualcosa come os.system / subprocess ove possibile.

La vera risposta è: non usare os.system()in primo luogo. Usa subprocess.callinvece e fornisci gli argomenti senza caratteri di escape.