इसका सही और सुरक्षित तरीके से उपयोग करने का सीधा तरीका है Open3.capture2() , Open3.capture2e()या Open3.capture3()।
माणिक की पीठ और उसका उपयोग करना %x उपनाम का उपयोग किसी भी डेटा के साथ उपयोग किए जाने पर किसी भी सुरक्षा को सुरक्षित नहीं कर रहे हैं । यह है खतरनाक , सीधे और सरल शब्दों:
untrusted = "; date; echo"
out = `echo #{untrusted}` # BAD
untrusted = '"; date; echo"'
out = `echo "#{untrusted}"` # BAD
untrusted = "'; date; echo'"
out = `echo '#{untrusted}'` # BAD
systemसमारोह, इसके विपरीत में, ठीक से तर्क निकल जाता है अगर सही ढंग से इस्तेमाल किया :
ret = system "echo #{untrusted}" # BAD
ret = system 'echo', untrusted # good
परेशानी यह है कि यह आउटपुट के बजाय निकास कोड लौटाता है, और बाद को कैप्चर करना जटिल और गड़बड़ है।
इस सूत्र में अब तक के सबसे अच्छे उत्तर में Open3 का उल्लेख है, लेकिन उन कार्यों का नहीं जो कार्य के लिए सबसे उपयुक्त हैं। Open3.capture2, capture2eऔर capture3काम की तरह system, लेकिन दो या तीन तर्क देता है:
out, err, st = Open3.capture3("echo #{untrusted}") # BAD
out, err, st = Open3.capture3('echo', untrusted) # good
out_err, st = Open3.capture2e('echo', untrusted) # good
out, st = Open3.capture2('echo', untrusted) # good
p st.exitstatus
एक और उल्लेख IO.popen()। वाक्य रचना इस अर्थ में अनाड़ी हो सकती है कि उसे इनपुट के रूप में एक सरणी चाहिए, लेकिन यह भी काम करता है:
out = IO.popen(['echo', untrusted]).read # good
सुविधा के लिए, आप Open3.capture3()एक फ़ंक्शन में लपेट सकते हैं , उदाहरण के लिए:
#
# Returns stdout on success, false on failure, nil on error
#
def syscall(*cmd)
begin
stdout, stderr, status = Open3.capture3(*cmd)
status.success? && stdout.slice!(0..-(1 + $/.size)) # strip trailing eol
rescue
end
end
उदाहरण:
p system('foo')
p syscall('foo')
p system('which', 'foo')
p syscall('which', 'foo')
p system('which', 'which')
p syscall('which', 'which')
निम्नलिखित पैदावार:
nil
nil
false
false
/usr/bin/which <— stdout from system('which', 'which')
true <- p system('which', 'which')
"/usr/bin/which" <- p syscall('which', 'which')