概念Command Injection / Shell注入
命令注入
一种安全漏洞类型，攻击者通过在输入数据中嵌入shell元字符，使程序将数据作为shell命令执行，常见于将用户输入直接拼接进shell命令字符串的场景
时间轴 (近 90 天)
10月11日
命令注入是指攻击者通过在输入数据中嵌入 shell 元字符（如 ;、&&、|、$()），使字符串被 shell 解析器当作额外命令执行的漏洞
待验证50%
10月11日
修复命令注入的正确做法是用 execFile 配合独立参数数组、用严格正则拒绝不合规分支文本并设置超时
待验证50%
10月11日
修复代码的思路应保留业务目标（如工具名、执行顺序、超时需求）而替换危险机制（如模板字符串、shell: true 标志、包裹 shell 的依赖）
待验证50%