本文介绍如何在 Go 中安全、规范地将变量插入 exec.Command 的命令参数中，重点讲解字符串拼接、格式化和路径拼接三种方式，并推荐使用 filepath.Join 处理文件路径以确保跨平台兼容性。
本文介绍如何在 go 中安全、规范地将变量插入 `exec.command` 的命令参数中，重点讲解字符串拼接、格式化和路径拼接三种方式，并推荐使用 `filepath.join` 处理文件路径以确保跨平台兼容性。
在 Go 中调用外部命令（如 exec.Command）时，若需将变量动态注入参数（例如文件路径），不能直接写成 /path/to/a 这类语法——Go 不支持相邻字符串字面量与变量的隐式连接。必须显式构造完整参数字符串。
✅ 正确做法一：字符串拼接（+）
最基础的方式是使用 + 运算符连接字符串：
a := fileName
cmd := exec.Command("command", "/path/to/"+a)
output, err := cmd.Output()
适用于简单场景，但需注意：若 fileName 含空格或特殊字符，可能引发命令解析问题（需额外转义或确保调用方能正确处理）。
✅ 正确做法二：fmt.Sprintf 格式化
语义更清晰，便于复用复杂模板：
a := fileName
cmd := exec.Command("command", fmt.Sprintf("/path/to/%s", a))
output, err := cmd.Output()
同样不解决路径安全性问题，仅提升可读性。
✅ 推荐做法：filepath.Join（最佳实践）
当拼接的是文件系统路径时，应优先使用 path/filepath.Join：
import "path/filepath"
dir := "/path/to/"
cmd := exec.Command("command", filepath.Join(dir, fileName))
output, err := cmd.Output()
优势包括：
- 自动适配操作系统路径分隔符（如 Windows 用 \，Linux/macOS 用 /）；
- 正确处理相对路径、..、. 等边界情况；
- 避免因手动拼接导致的双斜杠 // 或末尾冗余分隔符问题；
- 符合 Go 官方惯用法，增强代码可维护性与健壮性。
⚠️ 注意事项：
- exec.Command 的每个参数均为独立字符串，不要将整个命令行（含空格）拼成单个字符串传入，否则 shell 解析逻辑失效且存在安全风险；
- 若 fileName 来自用户输入，务必先校验合法性（如禁止 ../ 路径遍历），再参与路径构造；
- 如需执行带 shell 特性的命令（如管道、重定向），应显式调用 sh -c 并谨慎处理参数注入，避免命令注入漏洞。
综上，对路径类参数，始终优先选用 filepath.Join；对非路径字符串，根据可读性选择 + 或 fmt.Sprintf，并始终将变量作为独立参数传递，而非拼入命令字符串中。
