摘要

PEP 750 引入了模板字串（t-字串），作為 f-字串的泛化，提供了一種在各種上下文中安全處理字串插值的方法。本 PEP 建議擴充套件 subprocess 和 shlex 模組以原生支援 t-字串，從而能夠更安全、更符合人體工程學地執行帶有插值值的 shell 命令，並作為 t-字串功能的參考實現，以改善 API 的人體工程學。

PEP 延期

在 PEP 初稿的討論中，很明顯，t-字串提供了一個潛在的機會，可以在不涉及使用者提供的文字訪問完整系統 shell 所帶來的所有安全和跨平臺相容性問題的情況下，為複雜的子程序呼叫提供 shell=True 級別的語法便利。

為此，PEP 作者現在計劃在 Python 3.14 beta 期間（及以後）開發一個實驗性的基於 t-字串的子程序呼叫庫，然後為 Python 3.15 準備一份修訂後的提案草案。

動機

儘管 PEP 750 中模板字串提供了安全優勢和靈活性，但它們在標準庫中缺乏具體的消費者實現來展示其實際應用。t-字串最引人注目的用例之一是更安全的 shell 命令執行，正如已撤回的 PEP 501 中所述。

# Unsafe with f-strings:
os.system(f"echo {message_from_user}")

# Also unsafe with f-strings
subprocess.run(f"echo {message_from_user}", shell=True)

# Fails with f-strings
subprocess.run(f"echo {message_from_user}")

# Safe with t-strings and POSIX-compliant shell quoting:
subprocess.run(t"echo {message_from_user}", shell=True)

# Safe on all platforms with t-strings:
subprocess.run(t"echo {message_from_user}")

# Safe on all platforms without t-strings:
subprocess.run(["echo", str(message_from_user)])

目前，開發人員必須在便利性（使用 f-字串，可能存在安全風險）和安全性（使用更冗長的、基於列表的 API）之間做出選擇。透過向 subprocess 模組新增原生 t-字串支援，我們提供了一個消費者參考實現，展示了 t-字串的價值，同時解決了常見的安全問題。

基本原理

subprocess 模組是 t-字串支援的理想選擇，原因如下：

• Shell 命令中的命令注入漏洞是眾所周知的安全風險。
• subprocess 模組已經支援基於字串和基於列表的命令規範。
• t-字串和適當的 shell 轉義之間存在自然對映，既提供了便利性又保證了安全性。
• 它作為 t-字串的實用展示，開發人員可以立即理解和欣賞。

透過擴充套件 subprocess 以原生處理 t-字串，我們使編寫安全程式碼變得更容易，而無需犧牲導致許多開發人員使用可能不安全的 f-字串的便利性。

規範

本 PEP 提出了對標準庫的兩個主要新增：

1. shlex 模組中一個新的 sh() 渲染器函式，用於安全的 shell 命令構造

2. 向 subprocess 模組的核心函式新增 t-字串支援，

   特別是 subprocess.Popen、subprocess.run() 以及其他接受命令引數的相關函式。

os.system(shlex.sh(t"cat {myfile}"))

os.system("cat " + shlex.quote(myfile)))

from string.templatelib import Template, Interpolation

def sh(template: Template) -> str:
    parts: list[str] = []
    for item in template:
        if isinstance(item, Interpolation):
            # shlex.sh implementation, so shlex.quote can be used directly
            parts.append(quote(str(item.value)))
        else:
            parts.append(item)

    # shlex.sh implementation, so `join` references shlex.join
    return join(parts)

import shlex
# Safe POSIX-compliant shell command construction
command = shlex.sh(t"cat {filename}")
os.system(command)

subprocess.run(t"cat {myfile}", shell=True)

subprocess.run(shlex.sh(t"cat {myfile}"), shell=True)

subprocess.run(t"cat {myfile} --flag {value}")

subprocess.run(["cat", myfile, "--flag", value])

subprocess.run(shlex.split(f"cat {shlex.quote(myfile)} --flag {shlex.quote(value)}"))

from string.templatelib import Template

if isinstance(args, Template):
    import shlex
    if shell:
        args = shlex.sh(args)
    else:
        args = shlex.split(shlex.sh(args))

向後相容性

此更改完全向後相容，因為它只添加了新功能，而未更改現有行為。subprocess 模組將繼續以與當前相同的方式處理字串和列表。

安全隱患

本 PEP 旨在透過提供一種更安全的替代方案來改進安全性，以替代將 f-字串與 shell 命令一起使用。透過根據上下文（shell 或非 shell）自動應用適當的轉義，它有助於防止命令注入漏洞。

但是，值得注意的是，當使用 shell=True 時，安全性僅限於符合 POSIX 的 shell。在 Windows 系統上，當 cmd.exe 或 PowerShell 可能用作 shell 時，shlex.quote() 提供的轉義機制不足以防止所有形式的命令注入。

如何教授此內容

此功能可以作為 t-字串的自然擴充套件來教授，以展示其實用價值。

1. 介紹命令注入問題以及為什麼 f-字串與 shell 命令一起使用是危險的。
2. 展示傳統解決方案（基於列表的命令、手動轉義）。
3. 介紹 shlex.sh 渲染器，用於顯式 shell 轉義。

   # Unsafe:
   os.system(f"cat {filename}")  # Potential command injection!
   
   # Safe using shlex.sh:
   os.system(shlex.sh(t"cat {filename}"))  # Explicitly escaping for shell
   

4. 介紹 subprocess 模組的原生 t-字串支援。

   # Unsafe:
   subprocess.run(f"cat {filename}", shell=True)  # Potential command injection!
   
   # Safe but verbose:
   subprocess.run(["cat", filename])
   
   # Safe and readable with t-strings:
   subprocess.run(t"cat {filename}", shell=True)  # Automatically escapes filename
   subprocess.run(t"cat {filename}")  # Automatically converts to list form
   

此實現應新增到 shlex 和 subprocess 模組文件中，並附有清晰的示例和安全建議。

$ cat > run_quoted.py
import sys, shlex, subprocess
subprocess.run(f"echo {shlex.quote(sys.argv[1])}", shell=True)
$ python3 run_quoted.py pwd
pwd
$ python3 run_quoted.py '; pwd'
; pwd
$ python3 run_quoted.py "'pwd'"
'pwd'

S:\> echo import sys, shlex, subprocess > run_quoted.py
S:\> echo subprocess.run(f"echo {shlex.quote(sys.argv[1])}", shell=True) >> run_quoted.py
S:\> type run_quoted.py
import sys, shlex, subprocess
subprocess.run(f"echo {shlex.quote(sys.argv[1])}", shell=True)
S:\> python3 run_quoted.py "echo OK"
'echo OK'
S:\> python3 run_quoted.py "'& echo Oh no!"
''"'"'
Oh no!'

版權

本文件置於公共領域或 CC0-1.0-Universal 許可證下，以更寬鬆者為準。