命令注入¶ ↑

一些 Ruby 核心方法接受包含要作为系统命令执行的文本的字符串数据。

不应使用未知或未经清理的命令调用它们。

这些方法包括

• Kernel.system

• Kernel.open

• `command`（反引号方法）（也由表达式 %x[command] 调用）。

• IO.popen(command).

• IO.read(command).

• IO.write(command).

• IO.binread(command).

• IO.binwrite(command).

• IO.readlines(command).

• IO.foreach(command).

• URI.open(command).

请注意，从子类 File 调用时，其中一些方法不会执行命令

• File.read(path).

• File.write(path).

• File.binread(path).

• File.binwrite(path).

• File.readlines(path).

• File.foreach(path).