如何在Java字符串中手动转义将在Bash Shell运行的敏感字符

一、直接用replace/replaceAll实现单字符转义 #

你要实现的分号转义需求，用replace或replaceAll都能搞定，核心是理清Java字符串与正则的转义规则：

• 用replace方法（推荐）：
  replace是对字面量字符串做全量替换，无需处理正则特殊字符。Java里表示一个字面反斜杠需要写两个\\，所以转义分号的代码如下：

  String userInput = "input;otherinput";
  String escaped = userInput.replace(";", "\\;");
  // 输出结果：input\;otherinput
  

• 用replaceAll方法：
  replaceAll的第一个参数是正则表达式，虽然分号不是正则特殊字符，但替换字符串里的反斜杠需要双重转义——Java字符串里用\\\\表示一个字面反斜杠（Java先转义一次成\\，正则再转义一次成\）。代码示例：

  String escaped = userInput.replaceAll(";", "\\\\;");
  

二、批量处理多个Bash敏感字符 #

如果要转义的不止分号，Bash里还有&、|、$、"、'、`等特殊字符需要处理，可以用正则一次性匹配并转义：

// 匹配所有Bash敏感字符，替换为\加原字符
String escaped = userInput.replaceAll("([;&|\\\\$\"'`])", "\\\\$1");

正则括号内的是需要转义的字符，$1代表匹配到的敏感字符本身。

三、用现成工具类自动转义 #

你提到的Apache Commons工具类确实有对应方案：

• Apache Commons Lang3中的StringEscapeUtils提供了escapeShell方法，能自动转义所有Bash特殊字符，不用手动逐个处理：

  import org.apache.commons.lang3.StringEscapeUtils;
  
  String escaped = StringEscapeUtils.escapeShell(userInput);
  

• 注意Apache Commons Text的StringEscapeUtils没有直接的escapeShell方法，优先用Commons Lang3的工具类更方便。

四、更安全的替代方案：避免直接拼接Shell命令 #

如果你的需求是执行Shell命令，最安全的方式是用ProcessBuilder传递参数数组，不用把用户输入直接拼接到Shell字符串里。这种方式不需要任何转义，Bash会把每个参数当作完整字符串处理：

// 示例：执行echo命令，直接传用户输入作为参数
ProcessBuilder pb = new ProcessBuilder("echo", userInput);
Process process = pb.start();

这种方式从根源上避免了注入风险，比手动转义更可靠。

内容的提问来源于stack exchange，提问作者luma09