JavaScript调用命令行，Node.js能而浏览器不能？

浏览器环境：间接调用方案

浏览器沙盒机制禁止直接访问系统命令,需通过后端中转：

1. 前端发起请求

   // 前端代码（AJAX示例）
   fetch('/api/run-command', {
   method: 'POST',
   headers: { 'Content-Type': 'application/json' },
   body: JSON.stringify({ command: 'dir' }) // 传递命令参数
   })
   .then(response => response.text())
   .then(data => console.log(data));

2. 后端接口处理（Node.js示例）

   const express = require('express');
   const { exec } = require('child_process');
   const app = express();

app.post(‘/api/run-command’, (req, res) => {
const userCommand = req.body.command;

// 安全验证：限制允许的命令
const allowedCommands = [‘dir’, ‘echo’];
if (!allowedCommands.includes(userCommand)) {
return res.status(400).send(“非法命令”);
}

exec(userCommand, (error, stdout, stderr) => {
if (error) return res.status(500).send(执行错误: ${error.message});
res.send(stdout);
});
});

app.listen(3000, () => console.log(‘服务已启动’));

---
### **二、Node.js环境：直接调用方案**
通过`child_process`模块执行命令：
#### 1. **exec() - 执行简单命令**
```javascript
const { exec } = require('child_process');
exec('dir', (error, stdout, stderr) => {
  if (error) console.error(`错误: ${error.message}`);
  if (stderr) console.error(`系统错误: ${stderr}`);
  console.log(`输出: ${stdout}`);
});

spawn() – 处理流式输出（推荐）

const { spawn } = require('child_process');
const cmd = spawn('cmd.exe', ['/c', 'dir']); // Windows系统
cmd.stdout.on('data', (data) => {
  console.log(`输出: ${data}`);
});
cmd.stderr.on('data', (data) => {
  console.error(`错误: ${data}`);
});
cmd.on('close', (code) => {
  console.log(`进程退出码: ${code}`);
});

execSync() – 同步执行

const { execSync } = require('child_process');
try {
  const output = execSync('echo Hello,DOS!');
  console.log(output.toString());
} catch (error) {
  console.error(error);
}

关键安全注意事项

1. 命令注入防御

   • 禁止拼接用户输入：exec('rm ' + userInput) ❌
   • 使用参数化：spawn('ls', ['-l', sanitizedUserInput]) ✅

2. 权限最小化

   • 以非管理员身份运行Node进程
   • 使用chroot或容器隔离环境

3. 输入验证

   // 示例：仅允许字母数字和空格
   if (!/^[a-z0-9\s]+$/i.test(userCommand)) {
     throw new Error("非法字符");
   }

适用场景对比

注：浏览器扩展可通过chrome.runtime或browserAPI调用本地应用（需预先声明权限），但需用户安装额外客户端。

替代方案推荐

1. Electron桌面应用

   // 主进程代码
   const { exec } = require('child_process');
   exec('start calc.exe'); // 调用Windows计算器

2. WebAssembly (Wasm)

   将C/C++命令行工具编译为Wasm，在浏览器安全沙盒中运行

• 浏览器中JS无法直接调用DOS命令，需通过后端API中转
• Node.js可通过child_process模块安全执行命令，但必须严格验证输入
• 生产环境建议使用WebSocket替代HTTP接口获取实时命令输出
• 敏感操作应添加双因素认证（2FA）等额外安全层
  参考：

  1. Node.js官方文档 – Child Processes
  2. OWASP命令注入防护指南
  3. MDN Web API安全规范
     技术实现需遵守当地法律法规，禁止用于未授权系统访问。