Python3 shell调用场景下用户输入Sanitizing方案有效性咨询

现有防护方案的有效性判断 #

你当前采用的不开启shell=True、将用户输入作为subprocess执行列表的单独参数传递的方案，本身就是业界公认的防范命令注入的基础最优方案，这种方式不会触发shell对元字符的解析逻辑，&&、|、$()这类特殊符号都会被当成普通参数内容处理，不会执行额外注入的命令，就像你测试的示例2一样，恶意拼接的内容只会被当成文件名抛出不存在的报错，不会产生危害，作为基础防护是完全可接受的，比自行写正则过滤元字符的方案可靠性高很多。

额外补充的防护措施 #

按照业界最佳实践，你还可以补充以下兜底防护，进一步降低风险：

• 做输入合法性校验，比如你当前场景是传入文件路径，就先校验路径的合法性：禁止相对路径穿越（过滤../这类内容）、用os.path.abspath解析真实路径后判断是否在你预设的允许访问的白名单目录下（比如仅允许访问/tmp、/data/upload这类业务目录），避免用户读取/etc/passwd、/root/.ssh/id_rsa这类敏感文件。
• 增加参数终止符规避选项注入风险：在用户输入前添加--参数，示例如下：

  subprocess.Popen(['cat', '--', user_input])
  

  就算用户输入-A、--help这类命令选项内容，也会被工具识别为普通文件名处理，不会触发选项逻辑。
• 最小权限运行：不要用root或高权限账号执行该脚本，给脚本分配仅满足业务需求的最小权限，比如仅拥有目标目录的只读权限，没有删除、修改其他文件的权限，就算出现异常也能控制影响范围。
• 全链路审计日志：记录所有用户输入、执行的命令、执行返回结果，方便后续出现问题时追溯定位。
• 可选的白名单匹配：如果业务场景允许，对用户输入的内容做格式白名单校验，比如仅允许输入包含字母、数字、下划线、点、斜杠的路径，过滤其他特殊字符，进一步收窄风险面。

内容的提问来源于stack exchange，提问作者RHSkinner