Tkinter的askopenfilename函数是否具备安全性？

别想当然认为askopenfilename返回的内容是安全的，必须像处理普通用户输入一样做清理

原因很简单：虽然这个函数是通过系统文件选择器返回路径，但文件名本身可以包含空格、引号、反斜杠，甚至像;、&这类shell元字符。如果直接把这些路径拼接到用shell=True的subprocess命令里，分分钟触发命令注入。比如用户故意选个叫file.txt; rm -rf ~的文件，直接拼命令的话，删除家目录的操作就跑起来了。

给你两个最安全的处理方式：

• 优先不用shell=True：用subprocess的列表传参形式，让Python直接调用程序，完全绕开shell解析。比如你要创建同名隐藏文件，代码可以这么写：

  import subprocess
  from tkinter.filedialog import askopenfilename
  
  original_path = askopenfilename()
  # 这里根据实际路径格式调整，比如从完整路径中提取文件名加.做隐藏文件
  file_name = original_path.split('/')[-1] if '/' in original_path else original_path.split('\\')[-1]
  hidden_path = f".{file_name}"
  # 安全调用，列表里的每个元素都是独立参数
  subprocess.run(["touch", hidden_path])
  

  这种方式下，不管文件名里有什么特殊字符，都会被当作touch命令的参数，不会被shell拆成别的命令。
• 如果非得用shell=True（比如某些复杂的shell命令），一定要用shlex.quote()转义路径：

  import shlex
  import subprocess
  
  quoted_hidden_path = shlex.quote(hidden_path)
  subprocess.run(f"touch {quoted_hidden_path}", shell=True)
  

  shlex会根据当前系统的shell规则自动转义特殊字符，杜绝注入风险。

另外要注意：askopenfilename返回的是真实存在的文件路径，但“文件存在”和“不会触发命令注入”是两码事，别把这俩混为一谈。

内容的提问来源于stack exchange，提问作者Ryan Farber