能否通过Node.js引入二进制命令输出的模块？

一、替代eval的安全模块化方案 #

直接用eval执行命令输出的代码确实存在安全风险，且不利于调试。可以将命令输出写入临时模块文件，再通过require加载：

const { execSync } = require('node:child_process');
const fs = require('node:fs');
const path = require('node:path');

// 执行命令获取模块内容
const moduleContent = execSync('my-command').toString();
// 创建临时模块文件
const tmpModulePath = path.join(__dirname, './tmp-dynamic-module.js');
fs.writeFileSync(tmpModulePath, moduleContent);

// 加载临时模块
require(tmpModulePath);

// 可选：使用后删除临时文件（注意同步删除可能有文件占用问题，可改用异步）
fs.unlinkSync(tmpModulePath);

这种方式更符合Node.js的模块化规范，代码可调试，也避免了eval带来的安全隐患。

二、启动前注入的CLI优化方案 #

你尝试的node -r $(my-command) ./index.js无法直接生效，因为-r参数要求传入的是模块路径而非代码内容。可以通过以下两种方式实现启动前注入：

1. 临时文件中转 #

先将命令输出写入临时文件，再用-r加载：

# 将命令输出写入临时预加载模块
my-command > tmp-preload.js
# 启动Node时加载该模块
node -r ./tmp-preload.js ./index.js
# 可选：执行完成后删除临时文件
rm tmp-preload.js

2. 进程替换（Bash/Zsh 环境） #

利用Shell的进程替换特性<()，直接将命令输出作为临时文件供Node加载：

node -r <(my-command) ./index.js

<()会创建一个临时FIFO管道文件，Node可以像加载普通模块一样读取其中的代码，无需手动清理临时文件。

三、自定义require扩展（进阶场景） #

如果需要多次动态加载这类命令生成的模块，可以注册自定义的require扩展名，让Node自动处理命令执行逻辑：

const { execSync } = require('node:child_process');
const Module = require('node:module');

// 注册自定义扩展名，比如.cmd
require.extensions['.cmd'] = function(module, filename) {
  // 执行命令获取模块内容（这里可以把文件名映射为对应的命令，或者固定执行my-command）
  const content = execSync('my-command').toString();
  // 编译模块代码并加载
  module._compile(content, filename);
};

// 之后就可以直接require对应的扩展名文件（文件名仅作为标识，实际内容来自命令）
require('./dynamic-module.cmd');

这种方式适合需要统一管理动态模块加载逻辑的场景，但注意require.extensions在Node.js中属于内部API，未来可能有变更。

内容的提问来源于stack exchange，提问作者David Alsh