Mac OS X下Python执行带参数OpenSSL命令报错求助

这个问题我碰到过，核心原因是你把shell的命令替换逻辑（$(echo -n 'blabla1' | xxd -p)）直接放到了Popen的参数列表里，但Popen默认不会启动shell来解析这些语法，所以那段命令替换会被当成-K的完整参数值传递给openssl，导致它报错“unknown option”。

下面给你两种可行的解决方案：

方案1：启动shell解析完整命令 #

如果想保留原来的shell命令逻辑，可以把整个命令写成字符串，然后给Popen加上shell=True参数，让它通过shell来解析命令中的替换语法：

import subprocess

clef = 'blabla1'
iv = 'blabla2'

# 把完整命令拼成字符串
command = f'openssl enc -aes-128-cbc -K $(echo -n "{clef}" | xxd -p) -iv {iv} -in /tmp/clair -nopad -out /tmp/crypte1 -d'

# 启动shell执行命令
execute = subprocess.Popen(command, shell=True, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
out, err = execute.communicate()

# 检查执行结果
if execute.returncode != 0:
    print(f"执行出错：{err.decode('utf-8')}")
else:
    print("解密完成！")

⚠️ 注意：这种方式如果clef或iv包含空格、引号等特殊字符，可能会触发shell注入风险，所以如果你的密钥/IV是动态生成或用户输入的，不推荐这种方法。

方案2：在Python内处理密钥转换（更安全） #

我们可以用Python代码实现echo -n 'blabla1' | xxd -p的功能，完全避免shell依赖，既安全又可靠：

import subprocess
from binascii import hexlify

clef = 'blabla1'
iv = 'blabla2'

# 模拟echo -n + xxd -p：把字符串转成字节，再转成无换行的十六进制字符串
key_hex = hexlify(clef.encode('utf-8')).decode('utf-8')

# 构造参数列表，每个参数都是独立的项
arguments = [
    'openssl', 'enc', '-aes-128-cbc',
    '-K', key_hex,
    '-iv', iv,
    '-in', '/tmp/clair',
    '-nopad',
    '-out', '/tmp/crypte1',
    '-d'
]

execute = subprocess.Popen(arguments, stdout=subprocess.PIPE, stderr=subprocess.PIPE)
out, err = execute.communicate()

# 检查执行状态
if execute.returncode != 0:
    print(f"解密失败：{err.decode('utf-8')}")
else:
    print("文件解密成功！")

这个方案的优势是：

• 不需要启动shell，避免了shell注入风险
• 参数传递更清晰，不会因为特殊字符导致命令解析错误
• 完全由Python控制转换逻辑，可维护性更高

内容的提问来源于stack exchange，提问作者Bob5421