在Go语言的实际开发中，调用系统Shell命令是完成特定系统级任务的常见需求，比如执行文件压缩、进程查询、环境配置等操作。当命令需要携带参数时，如果处理不当很容易出现参数解析错误、命令注入风险等问题，因此掌握正确的带参数Shell命令执行方式非常重要。
Go执行Shell命令的核心包
Go语言标准库中的os/exec包是执行外部命令的核心工具，它提供了创建和管理外部进程的能力，相比直接调用系统底层接口更加安全易用。该包中最常用的结构体是Cmd，它代表一个准备执行或者正在执行的外部命令。
基础执行方式：直接执行简单命令
对于不带参数的简单Shell命令，可以直接使用exec.Command创建命令实例，然后调用Run或者Output方法执行。下面是一个执行ls命令查看当前目录文件的示例：
package main
import (
"fmt"
"os/exec"
)
func main() {
// 执行不带参数的ls命令
cmd := exec.Command("ls")
// 捕获命令输出
output, err := cmd.Output()
if err != nil {
fmt.Printf("命令执行失败：%vn", err)
return
}
fmt.Printf("命令输出结果：n%sn", output)
}
带参数命令的正确传递方式
很多开发者容易犯的错误是把命令和参数拼接成一个字符串传给exec.Command，这种方式不仅容易解析错误，还可能带来命令注入的安全风险。正确的做法是将命令和每个参数作为独立的字符串依次传入。
参数拆分原则
exec.Command的第一个参数是命令本身，后面的不定长参数依次是命令的各个参数，不需要手动做空格拆分。比如要执行ls -l /home命令，正确的传参方式是：
package main
import (
"fmt"
"os/exec"
)
func main() {
// 正确传递参数：命令是ls，第一个参数是-l，第二个参数是/home
cmd := exec.Command("ls", "-l", "/home")
output, err := cmd.Output()
if err != nil {
fmt.Printf("命令执行失败：%vn", err)
return
}
fmt.Printf("命令输出结果：n%sn", output)
}
错误示例：拼接字符串传参
下面这种拼接字符串的方式是错误的，会导致参数解析异常：
package main
import (
"fmt"
"os/exec"
)
func main() {
// 错误示例：拼接命令和参数
cmd := exec.Command("ls -l /home")
output, err := cmd.Output()
if err != nil {
fmt.Printf("命令执行失败：%vn", err)
return
}
fmt.Printf("命令输出结果：n%sn", output)
}
上述错误示例中，exec.Command会把整个ls -l /home当成一个命令名去查找，自然无法找到对应的可执行文件，导致执行失败。
特殊参数的处理
当参数中包含空格、引号、特殊符号时，不需要手动做转义，只要把完整参数作为独立字符串传入即可，exec包会自动处理参数的传递逻辑。
比如要创建一个包含空格的文件名，执行touch "test file.txt"命令，正确的传参方式如下：
package main
import (
"fmt"
"os/exec"
)
func main() {
// 参数包含空格，直接作为独立字符串传入
cmd := exec.Command("touch", "test file.txt")
err := cmd.Run()
if err != nil {
fmt.Printf("文件创建失败：%vn", err)
return
}
fmt.Println("文件创建成功")
}
命令输出与错误捕获
执行Shell命令时，通常需要获取标准输出和标准错误的内容，exec.Cmd提供了对应的方法来处理。
获取标准输出
使用Output方法可以直接获取命令的标准输出内容，该方法会等待命令执行完成后再返回结果，适合不需要实时获取输出的场景。
获取标准错误
如果命令执行出错，错误信息会输出到标准错误流，可以通过Stderr字段或者CombinedOutput方法获取。CombinedOutput会把标准输出和标准错误合并返回。
package main
import (
"fmt"
"os/exec"
)
func main() {
// 执行一个不存在的命令，捕获错误输出
cmd := exec.Command("ls", "not_exist_dir")
// 合并获取标准输出和标准错误
output, err := cmd.CombinedOutput()
if err != nil {
fmt.Printf("命令执行失败，错误信息：%vn", err)
fmt.Printf("错误输出内容：n%sn", output)
return
}
fmt.Printf("命令输出结果：n%sn", output)
}
避免命令注入风险
如果命令的参数来自不可信的用户输入，千万不要把输入内容直接拼接到命令字符串中，否则会带来严重的命令注入风险。比如下面的错误示例：
package main
import (
"fmt"
"os/exec"
)
func main() {
// 模拟用户输入，假设用户输入了恶意内容
userInput := "test; rm -rf /"
// 错误示例：拼接用户输入到命令中
cmd := exec.Command("echo " + userInput)
output, err := cmd.Output()
if err != nil {
fmt.Printf("命令执行失败：%vn", err)
return
}
fmt.Printf("输出结果：%sn", output)
}
上述代码中，用户输入的test; rm -rf /会被当成两个命令执行，造成严重的系统破坏。正确的做法是将用户输入作为独立参数传入，这样exec包会把整个输入当成一个普通参数，不会执行其中的特殊符号：
package main
import (
"fmt"
"os/exec"
)
func main() {
userInput := "test; rm -rf /"
// 正确做法：将用户输入作为独立参数传入
cmd := exec.Command("echo", userInput)
output, err := cmd.Output()
if err != nil {
fmt.Printf("命令执行失败：%vn", err)
return
}
fmt.Printf("输出结果：%sn", output)
}
设置命令执行环境和工作目录
有时候需要指定命令的执行目录或者环境变量，可以通过Cmd的Dir和Env字段来设置。
package main
import (
"fmt"
"os"
"os/exec"
)
func main() {
cmd := exec.Command("ls", "-l")
// 设置命令执行的工作目录
cmd.Dir = "/tmp"
// 设置环境变量，追加自定义变量
cmd.Env = append(os.Environ(), "MY_VAR=test_value")
output, err := cmd.Output()
if err != nil {
fmt.Printf("命令执行失败：%vn", err)
return
}
fmt.Printf("命令输出结果：n%sn", output)
}
常见问题总结
- 不要拼接命令和参数成一个字符串传给
exec.Command，要拆分后依次传参 - 包含特殊字符的参数直接作为独立字符串传入即可，不需要手动转义
- 用户输入的参数必须作为独立参数传递，避免命令注入风险
- 根据需求选择
Run、Output、CombinedOutput等执行方法 - 需要实时获取输出时，可以使用
StdoutPipe和StderrPipe方法