Fish Shell参数命令替换：使用eval是否安全？有无替代方案？

问题1：以这种方式使用eval能否始终符合预期？ #

能实现你想要的参数拆分效果，但并非始终安全或可靠：

• 当命令输出是标准的无特殊字符的shell参数时（比如你例子中的-l -h或pkg-config的输出），eval会正确解析并拆分为多个参数，符合预期。
• 但如果输出包含引号、通配符、换行、分号/管道等shell语法字符，eval会将这些内容作为可执行的shell代码处理，可能导致参数解析错误，甚至执行意外命令（存在安全风险）。
• 只有在你完全信任命令输出的安全性和格式时，才适合用这种方式。

问题2：是否有其他更合适的实现方式？ #

根据场景不同，有两种实用方案：

方案1：数组拆分（安全可控，适合简单参数） #

先将命令输出拆分为Fish数组，再展开数组作为命令参数。用string split完成拆分，示例：

# ls示例
set args (echo '-l -h' | string split ' ')
ls $args

# GStreamer编译示例
set build_flags (pkg-config --cflags --libs gstreamer-1.0 | string split --regex '\s+')
gcc basic-tutorial-1.c -o basic-tutorial-1 $build_flags

注意：如果参数中包含带空格的路径，这种按空格拆分的方式会出错，此时需要依赖shell语法解析能力，eval反而更可靠。

方案2：eval结合命令替换（针对shell兼容输出） #

对于pkg-config这类输出标准shell格式参数的工具，最省心的方式是结合eval，它能正确处理带空格的参数、转义字符等复杂场景：

eval gcc basic-tutorial-1.c -o basic-tutorial-1 (pkg-config --cflags --libs gstreamer-1.0)

只要你信任工具输出的安全性（比如官方pkg-config），这种方式既简洁又能准确解析所有参数。

内容的提问来源于stack exchange，提问作者Rogus