system是C标准库函数，将字符串交由shell执行，Windows调用cmd.exe /c、Linux/macOS调用/bin/sh -c；存在路径分隔符、注入风险、无法捕获输出等问题，生产环境应优先使用CreateProcess、fork+exec或boost::process等更安全的替代方案。
system 函数的基本用法和平台差异
system 是 C 标准库函数（声明在 cmd.exe /c，Linux/macOS 下调用 /bin/sh -c。
关键点：你传的字符串不是“命令本身”，而是整个 shell 行；system("dir") 实际执行的是 cmd.exe /c dir（Windows）或 /bin/sh -c 'dir'（Unix）。这意味着路径分隔符、通配符、重定向都受 shell 解析规则约束。
- Windows 上用反斜杠
\要写成\\或用原始字符串字面量：R"(C:\temp\file.txt)" - 含空格的路径必须加双引号：
system("notepad.exe \"C:\\my file.txt\"") - Linux 下注意权限：如果程序需要
sudo，system("sudo ...")会失败——因为sudo拒绝从非交互终端读密码
如何安全地拼接参数避免注入
直接拼接用户输入到 system 字符串里是高危操作。比如：std::string cmd = "ping " + user_input;，若 user_input 是 "127.0.0.1 && del /q C:\\*"，后果严重。
真正安全的做法是：**不用 system，改用更底层的进程创建方式**（如 Windows 的 CreateProcess、POSIX 的 fork+exec 系列）。但若坚持用 system，至少做基础防护：
立即学习“C++免费学习笔记（深入）”；
- 白名单校验输入：只允许数字、字母、下划线、点号等无害字符
- 对路径类输入，用
std::filesystem::absolute()获取绝对路径后，再用std::quoted()（C++20）包裹：system(("ping " + std::quoted(host)).c_str()) - 禁用 shell 特性：Windows 下可改用
cmd.exe /c "echo hello"→ 改为cmd.exe /c echo hello（去掉引号）反而更易被绕过，所以不如不用system
获取命令执行结果和退出码
system 返回的是子进程的**终止状态**（不是 stdout 内容），需用 WEXITSTATUS（POSIX）或直接判断是否为 0（Windows 习惯）来解读：
int result = system("dir > out.txt 2>&1");
if (result == -1) {
// fork 失败，系统资源不足或权限问题
} else if (result == 0) {
// 命令成功执行（但不保证业务逻辑成功，比如 dir 找不到目录也返回 0）
} else {
// 命令执行出错，但具体含义依赖 shell —— Windows 下通常就是 cmd.exe 的 exit code
}
注意：system **无法捕获 stdout/stderr**。想读输出内容，必须重定向到文件再读，或换用 popen（仅限 POSIX）或跨平台库如 boost::process。
替代方案比 system 更可靠
除非只是临时调试或脚本式小工具，否则生产代码中应避开 system。常见替代路径：
- Windows：用
CreateProcess+WaitForSingleObject，能精确控制参数数组、环境变量、标准句柄重定向 - Linux/macOS：用
fork+execvp，参数以char*[]传入，天然规避 shell 注入 - C++17 起可用
std::filesystem替代多数文件操作命令（如std::filesystem::remove_all代替rm -rf） - 跨平台项目推荐
boost::process或libuv，它们封装了底层差异，提供异步、管道、信号处理等能力
真正难的不是“怎么调用外部程序”，而是“怎么确保它按预期运行、不崩溃、不泄露、不被劫持”。system 把所有这些责任推给了 shell 和调用者，而大多数 C++ 工程师并不熟悉 shell 的解析边界。
