注意事项

避免 shell=True 拼接用户输入，防止命令注入。

优先用列表形式传命令参数。

❌ 错误写法

subprocess.run('rm ' + user_input, shell=True)

✅ 正确写法

subprocess.run(['rm', user_input])  # 且需校验 user_input

📌 shell=True 拼接用户输入可能导致命令注入。