Go os/exec 执行外部命令时怎么安全传递带空格参数

用 Go 执行外部命令时，带空格的路径不要先拼成一整行命令。os/exec 的正确思路是把程序名和每个参数分别传给 exec.Command：例如 /data/monthly report.csv 始终作为一个字符串参数。这样既不会因为空格错位，也不会把不可信输入意外交给 shell 解释。

命令名和每个参数要分开传给 exec.Command

exec.Command 的第一个参数是程序名，后面的每个字符串都是一个独立参数。不要把 "mytool --input /data/monthly report.csv" 当成一个字符串再交给它，也不要用 strings.Join 组装“看起来像命令行”的文本。带空格的路径应该只占一个参数位置。

package main

import (
	"fmt"
	"os/exec"
)

func main() {
	inputPath := "/data/monthly report.csv"
	// 每个参数单独传入，带空格的路径仍是一个参数。
	cmd := exec.Command("mytool", "--input", inputPath, "--format", "csv")

	// Args[0] 是程序名，后续元素按原顺序保存参数。
	fmt.Println(cmd.Args)
}

这里的关键不是给空格加反斜杠，而是保留参数边界。只有当业务明确需要 shell 的管道、重定向或通配符时，才应把 shell 当作一个清晰的额外边界来设计；普通参数传递不需要 sh -c。

输出采集先选 Output 还是 CombinedOutput

命令执行后常见的选择有两个：Output 返回标准输出；CombinedOutput 把标准输出和标准错误合并到同一个字节切片。前者适合把正常结果交给解析器，后者适合诊断失败原因，但合并后就不能再按通道区分日志。

package main

import (
	"errors"
	"fmt"
	"os/exec"
)

func main() {
	cmd := exec.Command("mytool", "--input", "/data/monthly report.csv")
	// Output 只把标准输出作为结果返回。
	out, err := cmd.Output()
	if err != nil {
		var exitErr *exec.ExitError
		if errors.As(err, &exitErr) {
			fmt.Printf("退出状态：%v，错误输出：%s\\n", exitErr.ProcessState, exitErr.Stderr)
		}
		return
	}
	fmt.Printf("结果：%s\\n", out)
}

需要流式输出时按 StdoutPipe、Start、读取、Wait 配合

当外部命令会持续输出日志，先取 StdoutPipe，再调用 Start 启动进程，读取结束后调用 Wait。官方文档特别提醒，不能在管道尚未读完时先调用 Wait，也不能把 StdoutPipe 和 Run 混用。

package main

import (
	"bufio"
	"fmt"
	"os/exec"
)

func main() {
	cmd := exec.Command("mytool", "--input", "/data/monthly report.csv")
	// 管道由命令启动时连接到标准输出。
	stdout, err := cmd.StdoutPipe()
	if err != nil {
		panic(err)
	}
	if err := cmd.Start(); err != nil {
		panic(err)
	}

	// 先消费完输出，再等待进程和 I/O 收尾。
	scanner := bufio.NewScanner(stdout)
	for scanner.Scan() {
		fmt.Println(scanner.Text())
	}
	if err := scanner.Err(); err != nil {
		fmt.Println("读取输出失败：", err)
	}
	if err := cmd.Wait(); err != nil {
		fmt.Println("命令失败：", err)
	}
}

如果同时处理标准错误，要为错误通道设计对应的读取策略，避免子进程因为某一路管道无人消费而卡住。简单任务优先用 Output 或 CombinedOutput，只有确实需要流式处理时才使用管道。

失败和资源回收怎么判断

可以把失败拆成三类：程序找不到、程序启动或 I/O 失败、程序自己以非零状态退出。errors.Is(err, exec.ErrNotFound) 用来识别找不到可执行文件；命令已运行但退出码非零时，通常可以通过 *exec.ExitError 查看进程状态。只要使用了 Start，就应保证同一条命令最终经过一次 Wait，它负责等待进程和相关 I/O 完成并释放 Cmd 资源。

• 参数错误：优先打印参数数量和边界，不要把整条命令拼接后重试。
• 找不到程序：检查部署环境的 PATH 或使用明确的可执行文件路径。
• 退出码非零：保留标准错误，并把退出状态与输入路径关联到日志。
• 流式读取：确认所有需要消费的管道都有读取方，再调用 Wait。

发布到服务端时，外部命令的程序名和参数应来自受控配置；用户输入的路径可以作为一个参数传递，但不要借此允许用户自由构造 shell 片段。

常见问题

带空格的参数需要手动加引号吗？

通过 exec.Command 直接传参时通常不需要。把完整路径作为一个独立字符串即可；手动加入 shell 引号反而可能把引号当成参数内容。

为什么不用 strings.Join 拼接命令？

拼接后的文本没有可靠的参数边界，也会把转义和 shell 解释混在一起。Go 代码需要传递的是参数切片，而不是展示给人看的命令行字符串。

调用 StdoutPipe 后能直接用 Run 吗？

不能。应按 Start、读取管道、Wait 的配合方式收尾；如果不需要流式读取，改用 Output 更简单。