如何避免使用路径变量进行 Shell 注入并等待命令存在？

Question

我需要读取一个命令的退出（然后我必须以同步的方式等待它）：

import subprocess
subprocess.call('ls ~', shell=True)

我的问题是这样的路径：

~/testing/;xterm;/blabla

我怎样才能清理来自用户的字符串（允许他的语言中的特殊字符）？

import subprocess
subprocess.call('ls ~/testing/;xterm;/blabla', shell=True) # This will launch xterm

我在 PHP 中找到了 escapeshellcmd，但在 Python 中没有找到任何东西。

PS：这不是重复的：

• 因为它是完整的路径，not the filename。
• 还有I read the os.path，我没有找到解决方案。

提前致谢！

=======

Answer 1

传递一个列表而不是一个字符串。并删除 shell=True 以使命令不由 shell 运行。 （您需要使用os.path.expanduser自己扩展~）

import os
import subprocess

subprocess.call(['ls', os.path.expanduser('~') + '/testing/;xterm;/blabla'])

旁注：如果您想获取文件名列表，最好使用os.listdir：

filelist = os.listdir(os.path.expanduser('~') + '/testing/;xterm;/blabla')