ls.stdout.on(‘data’, function (data) {
console.log(data.toString());
});
运行的系统调用
[pid 26883] execve(“/bin/ls”, [“/bin/ls”, “-l”, “.”], [/* 16 vars */
当使用spawn或execfile时，我们的目标是只执行一个命令（参数）。这意味着用户不能运行注入的命令，因为/bin/ls并不知道如何处理反引号或pipe或;。它的/bin/bash将要解释的是那些命令的参数。它类似于使用将参数传入SQL查询(parameter)，如果你熟悉的话。
但还需要警告的是：使用spawn或execFile并不总是安全的。例如，运行 /bin/find，并传入用户输入参数仍有可能导致系统被攻陷。 find命令有一些选项，允许读/写任意文件。
所以，这里有一些关于Node.js运行系统命令的指导建议：
避免使用child_process.exec，当需要包含用户输入的参数时更是如此，请牢记。
尽量避免让用户传入参数，使用选择项比让用户直接输入字符串要好得多。
如果你必须允许用户输入参数，请广泛参考该命令的参数，确定哪些选项是安全的，并建立一个白名单。
