本文详解如何在 go 的 exec.command 中安全、规范地拼接包含变量的命令参数，涵盖字符串拼接、格式化函数及推荐的 filepath.join 方法，并强调路径安全与可移植性。
本文详解如何在 go 的 exec.command 中安全、规范地拼接包含变量的命令参数，涵盖字符串拼接、格式化函数及推荐的 filepath.join 方法，并强调路径安全与可移植性。
在 Go 中调用外部命令时，exec.Command 接收的是参数切片（[]string），每个参数必须是独立的字符串。当参数中包含变量（如文件名）时，不能直接在字符串字面量中嵌入变量（如 "/path/to/"a），Go 不支持这种语法。正确做法是先将变量与固定路径组合成完整参数，再传入。
✅ 正确的拼接方式
1. 使用 + 操作符拼接字符串
最基础的方式是字符串连接：
a := fileName
cmd := exec.Command("command", "/path/to/"+a)
output, err := cmd.Output()
if err != nil {
log.Fatal(err)
}适用于简单场景，但需确保 a 不含路径分隔符（如 / 或 \），否则可能引发路径遍历或跨目录风险。
2. 使用 fmt.Sprintf 格式化
语义更清晰，便于扩展复杂模板：
a := fileName
cmd := exec.Command("command", fmt.Sprintf("/path/to/%s", a))
output, err := cmd.Output()注意：仍需自行保证 a 的安全性（例如过滤非法字符），且不处理操作系统路径差异。
3. ✅ 推荐：使用 filepath.Join（最佳实践）
这是 Go 官方推荐的路径构造方式，自动适配当前操作系统的路径分隔符（如 Windows 用 \，Linux/macOS 用 /），并规范化路径（如处理 ..、.、重复分隔符等）：
import "path/filepath"
dir := "/path/to"
a := fileName
cmd := exec.Command("command", filepath.Join(dir, a))
output, err := cmd.Output()✅ 优势：
- 跨平台兼容（无需硬编码 / 或 \）；
- 自动清理冗余路径组件（如 filepath.Join("/a//b", "..", "c") → /a/c）；
- 避免因手动拼接导致的路径注入漏洞（前提是 a 本身已做输入校验）。
⚠️ 重要注意事项
-
永远不要将用户输入未经校验地拼入命令参数——这可能导致命令注入（如 fileName = "; rm -rf /"）。建议对 fileName 进行白名单校验或使用 filepath.Base() 提取纯文件名：
safeName := filepath.Base(fileName) // 仅保留 basename，剥离路径 cmd := exec.Command("command", filepath.Join("/path/to", safeName)) - exec.Command 的第一个参数是可执行文件名，后续所有参数均为独立字符串，不会经过 shell 解析（即不支持管道、重定向等 shell 特性）。如需 shell 功能，请显式调用 sh -c 并谨慎构造命令字符串。
- 若参数含空格或特殊字符，exec.Command 会原样传递给程序，无需额外转义（区别于 shell 执行）。
综上，优先使用 filepath.Join 构建路径参数，辅以输入校验，既保障代码可移植性，又提升安全性与可维护性。
