用数组方式做调用，或者拼字符串时加上 obj.shellescape 就好了

不过 curl 的协议问题也是经常会没注意到...

对于大部分带拼字符串的命令行调用

system "cc #{foo} -o tmp/#{bar}"

全部改成这样就不怕注入了：

system *%W"cc #{foo} -o tmp/#{bar}"

利用 ruby 语法优势，只需要加 *%W 超简单...

这种问题我记得 Brakeman 可以检查出来的

https://github.com/presidentbeef/brakeman

#1 楼 @luikore 学习了，之前不知道有 shellescape 这个方法。

我也是用 *%W，为了避免讲解语法所以用简单的数组。

#3 楼 @huacnlee 好东西，检出几个潜在漏洞

http://hooopo.writings.io/articles/1-Shell-Out-Best-Practice-In-Ruby

还可以对上线版本用 metasploit 做穿透测试，metasploit 还可以开 irb 控制台干坏事...

试了一下@Rei 说的

> system "curl", "-o a.png //l.ruby-china.com/photo/5982eaaa64f467d9dbda03ad4f40ea27.png"
curl: no URL specified!
curl: try 'curl --help' or 'curl --manual' for more information
=> false

用 system "curl", "-o", "a.png", "//l.ruby-china.com/photo/5982eaaa64f467d9dbda03ad4f40ea27.png" 正常

> system "curl", "-o", "a.png", "//l.ruby-china.com/photo/5982eaaa64f467d9dbda03ad4f40ea27.png"
  % Total    % Received % Xferd  Average Speed   Time    Time    Time  Current
                                 Dload  Upload   Total   Spent    Left  Speed
100 12458  100 12458    0     0  11821      0  0:00:01  0:00:01 --:--:--  553k
=> true

今天看 mini_magick 的源码，是用的 shellescape

https://github.com/minimagick/minimagick/blob/master/lib/mini_magick.rb#L452

#7 楼 @charles 抱歉，我搞错了，数组参数需要把每个参数都分开。实际我是这么用的

system *%W( curl -o a.png //l.ruby-china.com/photo/5982eaaa64f467d9dbda03ad4f40ea27.png )

#9 楼 @Rei +1

%w前加个*是啥意思呢？

#11 楼 @goinaction %W( ) 是个数组，直接传给方法是一个数组参数，加 * 将数组展开作为多个参数传入。

#12 楼 @Rei 原来还是数组展开的作用，以为是啥特殊功能。。。