Node.js环境（推荐方案）
通过child_process模块执行CMD命令，这是最直接且安全的方式：
const { exec } = require('child_process');
// 示例：执行dir命令列出目录
exec('dir', (error, stdout, stderr) => {
if (error) {
console.error(`执行错误: ${error.message}`);
return;
}
if (stderr) {
console.error(`命令报错: ${stderr}`);
return;
}
console.log(`输出结果:\n${stdout}`);
});
关键参数说明：
exec(command, options, callback)：执行完整命令字符串spawn(command, args)：适用于流式输出（如实时日志）- 安全建议：
- 严格校验用户输入,避免拼接命令（防命令注入攻击）
- 使用
{ timeout: 5000 }设置超时防止阻塞 - 通过
cwd指定工作目录（如{ cwd: 'C:\\project' }）
浏览器环境（间接方案）
浏览器无法直接执行CMD,但可通过以下流程间接实现：
- 前端：通过WebSocket或HTTP API发送指令到服务器
- Node.js后端：接收请求后执行命令
- 返回结果：将执行结果传回前端
// 前端伪代码（使用Fetch API）
fetch('/api/run-command', {
method: 'POST',
body: JSON.stringify({ command: 'ping 127.0.0.1' })
})
.then(response => response.json())
.then(data => console.log(data.output));
// 后端伪代码（Express框架）
app.post('/api/run-command', (req, res) => {
const { command } = req.body;
exec(command, (error, stdout) => {
res.json({ output: stdout || error.message });
});
});
安全风险与防护措施
-
高危风险：
- 命令注入（如用户输入
rm -rf /） - 敏感信息泄露（命令返回系统路径、配置文件等）
- 拒绝服务攻击（执行
while true; do echo 1; done）
- 命令注入（如用户输入
-
防护策略：
- 白名单机制：仅允许预定义的命令（如
['ls', 'pwd']） - 权限隔离：使用低权限账户运行Node.js进程
- 输入过滤：正则匹配合法字符（如仅允许字母、数字、空格）
- 日志审计：记录所有执行的命令及来源IP
- 白名单机制：仅允许预定义的命令（如
适用场景建议
| 场景 | 推荐方案 | 理由 |
|---|---|---|
| 本地开发工具 | Node.js直接执行 | 高效且无需网络通信 |
| Web服务器管理后台 | 后端API代理 | 避免浏览器安全限制 |
| 持续集成(CI)脚本 | spawn()流式处理 | 实时输出日志 |
在Node.js中执行CMD命令是可靠方案，但必须严格遵循安全规范，浏览器环境需通过后端中转，绝对禁止在前端直接调用系统命令，实际开发中应优先考虑使用专用API替代命令执行（如文件操作选fs模块，进程管理用pm2），最大限度降低安全风险。
引用说明：本文内容参考Node.js官方文档Child Process模块及OWASP命令注入防护指南，实践代码已在Node.js 18.x环境验证，请根据实际需求调整错误处理逻辑。
原创文章，发布者：酷番叔，转转请注明出处：https://cloud.kd.cn/ask/6397.html
