subprocess.run()是最安全的调用方式，应传入参数列表、禁用shell=True，避免拼接用户输入；必须用shell时需用shlex.quote()转义或白名单校验，并显式捕获stdout/stderr。
subprocess.run() 是最安全的调用方式
直接用 os.system() 或 os.popen() 执行 Shell 脚本容易被注入攻击，尤其当命令里拼接了用户输入。推荐统一用 subprocess.run()，它默认禁用 shell 解析，天然防注入。
常见错误是写成：subprocess.run("sh script.sh", shell=True) —— 这等于把整个字符串丢给系统 shell，一旦 script.sh 名字来自变量（比如用户上传的文件名），就可能执行任意命令。
- 正确做法：传入命令列表，不依赖
shell=True：subprocess.run(["sh", "script.sh"]) - 如果脚本有参数，直接追加到列表里：
subprocess.run(["sh", "script.sh", "arg1", "arg2"]) - 需要捕获输出？加
capture_output=True和text=True：result = subprocess.run(["sh", "script.sh"], capture_output=True, text=True)
脚本路径没找到？先确认工作目录和权限
FileNotFoundError 不一定代表脚本不存在，更可能是路径解析失败或没执行权限。
- 绝对路径最稳：
subprocess.run(["/full/path/to/script.sh"]) - 相对路径时，
subprocess默认继承 Python 进程的当前工作目录（os.getcwd()），不是脚本所在目录。可用cwd=参数显式指定：subprocess.run(["./script.sh"], cwd="/path/to/dir") - Linux/macOS 下脚本必须有可执行权限：
chmod +x script.sh；Windows 下则不需要，但需确保后缀在PATHEXT中（如.bat、.cmd）
怎么拿到脚本的退出码和标准错误？
subprocess.run() 返回一个 CompletedProcess 对象，关键字段是 returncode、stdout、stderr。别只看 stdout，很多错误信息其实输出到 stderr。
立即学习“Python免费学习笔记（深入）”；
- 检查是否成功运行：
if result.returncode != 0:然后打印result.stderr - 如果脚本本身会输出二进制内容（比如图片生成），记得去掉
text=True，否则解码会报UnicodeDecodeError - 想让错误直接抛出异常？加
check=True：subprocess.run(["sh", "script.sh"], check=True)，失败时自动 raiseCalledProcessError
要不要用 shell=True？真要的时候得小心
只有两种情况才考虑 shell=True：一是用管道（|）、重定向（>）、通配符（*）等 shell 特性；二是调用系统内置命令（如 which、source）且无法拆解为独立进程。
- 必须传字符串，不能传列表：
subprocess.run("ls *.py | head -n 3", shell=True) - 绝不能拼接变量：
f"ls {user_input}.py"→ 改用shlex.quote(user_input)包裹后再拼 - Windows 下
shell=True实际调用的是cmd.exe，语法和 bash 不同（比如用^转义，不是\）
真正难的不是怎么调，而是判断该不该走 shell —— 大多数自动化场景，用纯列表调用 + 显式参数，比绕一圈 shell 更可靠、更易调试。
