使用shell=True
与您现有的脚本
首先，就 最简单的事情而言 -如果您使用
shell=True，则可以告诉外壳程序开始运行未经修改的现有脚本内容。
也就是说-如果您最初是这样做的：
subprocess.Popen(['your-command', 'arg1', 'arg2'])
…然后您可以执行以下操作，以几乎相同的安全性保证执行同一命令（唯一的其他漏洞，只要它们的内容
file1.sh受信任，就是带壳问题，例如shellshock）：
# this has the security of passing explicit out-of-band args# but sources your script before the out-of-process commandsubprocess.Popen(['. "$1"; shift; exec "$@"', "_", "./file1.sh", "your-command", "arg1", "arg2"], shell=True)
使用/proc/self/environ
在NUL分隔的流出口环境变量
理想的做法是以明确的形式导出环境变量-NUL分隔的流是理想的-然后在Python中解析该流（格式非常明确）。
假设使用Linux，则可以按如下所示导出完整的环境变量集：
# copy all our environment variables, in a NUL-delimited stream, to myvars.environcat </proc/self/environ >myvars.environ
…或者您可以手动导出一组特定的变量：
for varname in HORCMINST PATH; do printf '%s=%s ' "$varname" "${!varname}"done >myvars.environ在Python中读取和解析NUL分隔的流
然后，您只需要阅读并解析它们：
#!/usr/bin/env pythonenv = {}for var_def in open('myvars.environ', 'r').read().split(' '): (key, value) = var_def.split('=', 1) env[key] = valueimport subprocesssubprocess.Popen(['your-command', 'arg1', 'arg2'], env=env)您也可以通过运行立即应用这些变量
os.environ[key]=value。
在bash中读取和解析NUL分隔的流
顺便说一下，同样的格式也很容易在bash中解析：
while IFS= read -r -d '' var_def; do key=${var_def%%=*} value=${var_def#*=} printf -v "$key" '%s' "$value" export "$key"done <myvars.environ# ...put the rest of your bash script here现在， 为什么要 使用NUL分隔的流？由于环境变量是C字符串-与Python字符串不同，它们不能包含NUL。因此，NUL是可以安全地用于定界的唯一字符。
例如，一个尝试使用换行符的人可能会被一个 包含 文字换行符的环境变量所困扰-
并且，例如，如果有人将一个简短的Python脚本嵌入到一个环境变量中，那是一个非常合理的事件！
