核心方法如何快速掌握？

在Java中调用命令行程序是开发中常见的需求，例如执行系统命令、调用外部脚本或启动其他应用程序，Java提供了两种核心方式实现该功能：Runtime.exec()和ProcessBuilder，以下将详细解析这两种方法的使用、差异及最佳实践。

Runtime.exec()（传统方式）

Runtime类通过exec()方法执行命令，返回Process对象管理子进程：

try {
    // 执行单条命令
    Process process = Runtime.getRuntime().exec("ping 127.0.0.1");
    // 读取命令输出
    BufferedReader reader = new BufferedReader(
        new InputStreamReader(process.getInputStream())
    );
    String line;
    while ((line = reader.readLine()) != null) {
        System.out.println(line);
    }
    // 等待命令执行完成（阻塞当前线程）
    int exitCode = process.waitFor();
    System.out.println("Exit Code: " + exitCode);
} catch (IOException | InterruptedException e) {
    e.printStackTrace();
}

关键点：

• 简单命令：直接传入字符串（如"ls -l"）。
• 复杂命令：使用字符串数组避免空格解析问题：

  String[] cmd = {"ffmpeg", "-i", "input.mp4", "output.avi"};
  Process process = Runtime.getRuntime().exec(cmd);

• 资源释放：必须关闭流（getInputStream(), getErrorStream()）,否则可能导致进程阻塞。

ProcessBuilder（推荐方式）

ProcessBuilder提供更灵活的控制，支持重定向、环境变量修改等：

try {
    // 构建命令及参数
    ProcessBuilder builder = new ProcessBuilder("python", "script.py", "arg1");
    // 设置工作目录和环境变量
    builder.directory(new File("/project/scripts"));
    builder.environment().put("PATH", "/usr/local/bin:" + builder.environment().get("PATH"));
    // 合并错误流到标准输出（便于调试）
    builder.redirectErrorStream(true);
    // 启动进程
    Process process = builder.start();
    // 异步读取输出（防止阻塞）
    new Thread(() -> {
        try (BufferedReader reader = new BufferedReader(
            new InputStreamReader(process.getInputStream()))
        ) {
            reader.lines().forEach(System.out::println);
        } catch (IOException e) {
            e.printStackTrace();
        }
    }).start();
    // 等待进程结束
    int exitCode = process.waitFor();
    System.out.println("Exit Code: " + exitCode);
} catch (IOException | InterruptedException e) {
    e.printStackTrace();
}

优势：

• 参数安全：自动处理参数分隔,避免注入风险。
• 流重定向：支持redirectOutput(File)、redirectError(File)。
• 超时控制：结合waitFor(long timeout, TimeUnit unit)实现超时终止。

关键注意事项

1. 流处理（防死锁）

   • 必须同时读取标准输出流和错误流,否则缓冲区满会导致进程阻塞。
   • 使用多线程或StreamGobbler类异步读取：

     new Thread(() -> consumeStream(process.getInputStream())).start();
     new Thread(() -> consumeStream(process.getErrorStream())).start();

2. 跨平台兼容性

   • Windows命令用cmd /c封装：

     ProcessBuilder builder = new ProcessBuilder("cmd.exe", "/c", "dir", "C:\\");

   • Linux/macOS直接使用/bin/bash。

3. 超时管理

   if (!process.waitFor(30, TimeUnit.SECONDS)) {
       process.destroy();       // 终止进程
       process.waitFor();       // 确保资源释放
       throw new TimeoutException("Command timed out");
   }

4. 命令注入防御

   • 严禁拼接用户输入：

     // 危险示例！用户可能输入"; rm -rf /"
     String userInput = request.getParameter("cmd");
     Runtime.getRuntime().exec("sh -c " + userInput); 

   • 使用白名单校验或ProcessBuilder的参数列表。

方法对比与推荐

推荐优先使用ProcessBuilder，尤其在需要环境控制、流重定向或安全要求高的场景。

典型应用场景

1. 调用系统工具：执行压缩、备份脚本。
2. 运行其他语言程序：调用Python/Shell脚本并获取结果。
3. 服务器管理：重启服务、监控系统资源。
4. 自动化测试：启动Selenium、生成测试报告。

Java调用命令行需关注：

1. 使用ProcessBuilder处理复杂场景，Runtime.exec()适合简单命令。
2. 严格处理流和超时,避免进程阻塞。
3. 禁止拼接用户输入,防御命令注入攻击。
4. 跨平台时注意命令格式差异。

引用说明 参考Oracle官方文档：

• ProcessBuilder (Java 17)
• Runtime.exec() (Java 17)
  安全实践参考OWASP命令注入防护指南。