使用shell=True与您现有的脚本

首先，就 最简单的事情而言 -如果您使用shell=True，则可以告诉外壳程序开始运行未经修改的现有脚本内容。

也就是说-如果您最初是这样做的：

subprocess.Popen(['your-command', 'arg1', 'arg2'])

…然后您可以执行以下操作，以几乎相同的安全性保证执行同一命令（唯一的其他漏洞，只要它们的内容file1.sh受信任，就是带壳问题，例如shellshock）：

# this has the security of passing explicit out-of-band args
# but sources your script before the out-of-process command
subprocess.Popen(['. "$1"; shift; exec "$@"', "_", "./file1.sh",
    "your-command", "arg1", "arg2"], shell=True)

使用/proc/self/environ在NUL分隔的流出口环境变量

理想的做法是以明确的形式导出环境变量-NUL分隔的流是理想的-然后在Python中解析该流（格式非常明确）。

假设使用Linux，则可以按如下所示导出完整的环境变量集：

# copy all our environment variables, in a NUL-delimited stream, to myvars.environ
cat </proc/self/environ >myvars.environ

…或者您可以手动导出一组特定的变量：

for varname in HORCMINST PATH; do
  printf '%s=%s\0' "$varname" "${!varname}"
done >myvars.environ

在Python中读取和解析NUL分隔的流

然后，您只需要阅读并解析它们：

#!/usr/bin/env python
env = {}
for var_def in open('myvars.environ', 'r').read().split('\0'):
  (key, value) = var_def.split('=', 1)
  env[key] = value

import subprocess
subprocess.Popen(['your-command', 'arg1', 'arg2'], env=env)

您也可以通过运行立即应用这些变量os.environ[key]=value。

在bash中读取和解析NUL分隔的流

顺便说一下，同样的格式也很容易在bash中解析：

while IFS= read -r -d '' var_def; do
  key=${var_def%%=*}
  value=${var_def#*=}
  printf -v "$key" '%s' "$value"
  export "$key"
done <myvars.environ

# ...put the rest of your bash script here

现在， 为什么要 使用NUL分隔的流？由于环境变量是C字符串-与Python字符串不同，它们不能包含NUL。因此，NUL是可以安全地用于定界的唯一字符。

例如，一个尝试使用换行符的人可能会被一个 包含 文字换行符的环境变量所困扰-
并且，例如，如果有人将一个简短的Python脚本嵌入到一个环境变量中，那是一个非常合理的事件！