Golang exec.Command执行含特殊字符命令的转义方法

代码执行失败本质不是特殊字符未转义，而是两个实现逻辑的硬伤：

• exec.Command 默认不会启动shell环境解析命令，所有shell专属语法——包括反引号`的命令替换、|管道符、单/双引号的参数包裹规则，都不会被识别。你把带这些语法的字符串拆分后直接传给可执行文件，所有符号都会被当成普通字符传入程序，自然执行异常。
• 基于strings.Fields的命令拆分逻辑存在天然缺陷：它只会按空白字符切割字符串，完全无法识别引号包裹的带空格参数，比如jq后的筛选规则包含空格，切割后会直接拆分为多个无效参数。

注意：不要继续使用strings.Fields拆分带shell语法的命令，这个逻辑从设计上就不支持shell特性，哪怕转义所有特殊字符，管道、命令替换这类功能也无法正常运行。

方案1：显式调用shell执行（改动最小，兼容原有shell命令写法） #

如果要保留原有的shell命令逻辑（命令替换算日期、管道传值给jq等），不需要手动做任何转义，直接把整条命令交给系统shell执行即可，shell会自动完成所有语法解析、特殊字符处理、命令替换、管道流转逻辑。
类Unix系统（macOS/Linux）下直接调用/bin/sh -c执行命令即可，修改执行逻辑如下：

import (
    "bytes"
    "fmt"
    "os/exec"
    "sync"
)

func exeCmd(cmdline string, wg *sync.WaitGroup) {
    defer wg.Done()
    // 显式调用shell，-c参数后传入完整命令字符串，由shell负责全链路解析
    cmd := exec.Command("/bin/sh", "-c", cmdline)
    var stdout, stderr bytes.Buffer
    cmd.Stdout = &stdout
    cmd.Stderr = &stderr

    err := cmd.Run()
    if err != nil {
        fmt.Printf("执行失败: %v\n错误输出: %s\n", err, stderr.String())
        return
    }
    fmt.Printf("执行结果:\n%s\n", stdout.String())
}

main函数中直接传入和终端写法一致的原生命令即可，Go原生字符串字面量中嵌入反引号时用字符串拼接处理，不需要额外加转义斜杠：

func main() {
    cmdList := []string{
        `curl -G https://api.github.com/search/repositories \
        --data-urlencode "q=created:>` + "`date -v-7d '+%Y-%m-%d'`" + `" \
        --data-urlencode "sort=stars" \
        --data-urlencode "order=desc" \
        -H "Accept: application/vnd.github.preview" \
        | jq ".items[0,1,2] | {name, description, language, watchers_count, html_url}"`,
    }

    wg := new(sync.WaitGroup)
    wg.Add(len(cmdList))
    for _, cmdStr := range cmdList {
        go exeCmd(cmdStr, wg)
    }
    wg.Wait()
}

方案2：纯Go原生实现（无shell依赖，更安全） #

如果要避免shell注入风险、不依赖系统shell环境，可以完全用Go逻辑实现所有原shell承担的功能，不需要任何特殊字符转义：

1. 用Go标准库计算7天前的日期，不需要调用date命令
2. 按顺序手动传入curl、jq的所有参数，不需要字符串拆分
3. 用进程管道把curl的输出直接对接给jq的输入
   示例代码：

import (
    "bytes"
    "fmt"
    "os/exec"
    "sync"
    "time"
)

func main() {
    wg := new(sync.WaitGroup)
    wg.Add(1)
    go func() {
        defer wg.Done()
        // 原生计算7天前日期，替代shell的date命令
        sevenDaysBefore := time.Now().AddDate(0, 0, -7).Format("2006-01-02")
        queryParam := fmt.Sprintf("q=created:>%s", sevenDaysBefore)

        // 构造curl命令，每个参数单独传入，不存在转义问题
        curl := exec.Command(
            "curl",
            "-G", "https://api.github.com/search/repositories",
            "--data-urlencode", queryParam,
            "--data-urlencode", "sort=stars",
            "--data-urlencode", "order=desc",
            "-H", "Accept: application/vnd.github.preview",
        )

        // 构造jq命令
        jq := exec.Command("jq", ".items[0,1,2] | {name, description, language, watchers_count, html_url}")

        // 建立管道对接curl输出和jq输入
        curlOut, err := curl.StdoutPipe()
        if err != nil {
            fmt.Printf("建立curl输出管道失败: %v\n", err)
            return
        }
        jq.Stdin = curlOut
        var jqOut, jqErr bytes.Buffer
        jq.Stdout = &jqOut
        jq.Stderr = &jqErr

        // 启动进程
        if err = curl.Start(); err != nil {
            fmt.Printf("启动curl失败: %v\n", err)
            return
        }
        if err = jq.Start(); err != nil {
            fmt.Printf("启动jq失败: %v\n", err)
            return
        }

        // 等待进程执行完成
        if err = curl.Wait(); err != nil {
            fmt.Printf("curl执行错误: %v\n", err)
            return
        }
        if err = jq.Wait(); err != nil {
            fmt.Printf("jq执行错误: %v\n错误输出: %s\n", err, jqErr.String())
            return
        }

        fmt.Printf("执行结果:\n%s\n", jqOut.String())
    }()
    wg.Wait()
}

这个方案所有参数都是显式传递，没有字符串解析逻辑，不会出现特殊字符兼容问题，也不存在命令注入风险，更适合生产环境使用。

内容的提问来源于stack exchange，提问作者Jia