如何将可执行程序myscript封装为REST API？

问题描述 #

我环境中有一个可执行程序myscript，它接受类似myscript -m <HTTP Request Headers + Body string>的命令行参数。我想把它转换成API，让服务器监听特定URL的HTTP请求，把请求传递给这个可执行程序，等待它输出后，再把输出打包成响应返回给客户端。

我尝试用Flask实现了一个示例，但不确定这种做法是否符合通用实践，或者有没有潜在问题。原代码如下：

import os
from flask import Flask
from flask import request

app = Flask(__name__)

@app.route("/")
def main(methods = ['POST']):
    data = request.form
    stream = os.system(f"myscript -m {data}")
    output = stream.read()
    return output

选择这种方案的原因是，myscript是用某类语言编写的，该语言没有优质的Web框架，但它的特性非常适合我的使用场景。

原代码的核心问题 #

• os.system()仅返回命令的退出状态码，不是可读取的数据流，执行stream.read()会直接抛出异常
• 直接拼接用户输入的request.form到命令行，存在严重的命令注入漏洞，恶意用户可构造参数执行任意系统命令
• @app.route的methods参数位置错误，应该定义在装饰器中，而非函数参数里

改进后的Flask实现 #

使用subprocess模块安全调用外部程序，同时正确处理请求数据：

import subprocess
from flask import Flask, request, Response

app = Flask(__name__)

@app.route("/", methods=['POST'])
def main():
    # 拼接请求头与请求体，构造传给myscript的参数
    headers = "\n".join([f"{k}: {v}" for k, v in request.headers.items()])
    body = request.get_data(as_text=True)
    input_str = f"{headers}\n\n{body}"

    # 安全调用外部程序，避免命令注入风险
    result = subprocess.run(
        ["myscript", "-m", input_str],
        capture_output=True,
        text=True,
        check=False  # 可根据需求设置为True，在命令失败时直接抛出异常
    )

    # 根据程序执行结果构造响应
    return Response(
        result.stdout,
        status=200 if result.returncode == 0 else 500,
        content_type="text/plain"  # 可根据myscript的实际输出类型调整
    )

通用实践与关键注意事项 #

• 安全优先：永远不要直接拼接用户输入到命令行，使用subprocess.run()的列表参数形式是防止命令注入的关键
• 性能优化：如果myscript执行耗时较长，需引入异步处理机制（如Celery），避免阻塞Flask的请求线程
• 错误处理：捕获程序的错误输出与退出状态，返回匹配的HTTP状态码，帮助客户端识别问题
• 资源管控：限制并发请求数，避免大量调用myscript导致系统资源耗尽
• 日志记录：记录请求参数、程序输出及错误信息，便于后续问题排查

这种用Web框架包装命令行程序的方案是行业通用实践，尤其适合你这种目标语言缺乏优质Web框架的场景，只要做好安全与性能管控，就能稳定运行。

内容的提问来源于stack exchange，提问作者Marco Pistilli