Method hasCommandInjection

pkg/sandbox/local.go:647–678

hasCommandInjection 检测命令注入

(cmd string)

// hasCommandInjection 检测命令注入
func (ls *LocalSandbox) hasCommandInjection(cmd string) bool {
	// 检测常见的命令注入模式
	injectionPatterns := []string{
		"`",    // 反引号命令替换
		"$(",   // 命令替换
		"$((",  // 算术扩展
		"${",   // 参数扩展（可能危险）
		"\n",   // 换行符注入
		"\r",   // 回车符注入
		"\x00", // 空字节注入
	}

	for _, pattern := range injectionPatterns {
		// 允许在引号内使用这些字符
		if strings.Contains(cmd, pattern) {
			// 简单检查：如果不在引号内，则可能是注入
			if !ls.isInQuotes(cmd, strings.Index(cmd, pattern)) {
				// 对于 $( 和 ${ 做更宽松的检查，因为它们在脚本中很常见
				if pattern == "$(" || pattern == "${" {
					// 只在偏执模式下阻止
					if ls.securityLevel >= SecurityLevelParanoid {
						return true
					}
				} else {
					return true
				}
			}
		}
	}

	return false
}

// isInQuotes 检查位置是否在引号内
func (ls *LocalSandbox) isInQuotes(s string, pos int) bool {