使用正确的参数转义从ruby调用shell命令

Question

我想安全地做以下事情

system "echo '#{params[:message]}' > /dev/log"

调用本机命令时转义参数的正确方法是什么？

(实施例恶输入:'; rm -Rf *; echo 'I won.)

Answer 1

如果你这样做

system "echo", params[:message]

然后第二个参数将作为参数发送,它不会被执行.