在Java程序中执行外部命令是一项常见的需求,例如调用系统工具、运行脚本或与其他程序交互，Java提供了多种方式来实现这一功能，每种方法适用于不同的场景，具有各自的优缺点，本文将详细介绍这些方法，包括Runtime.exec()、ProcessBuilder以及第三方库的使用，并探讨异常处理、输入输出流管理以及安全注意事项。

使用Runtime.exec()执行外部命令

Runtime类是Java中与运行时环境交互的入口点，其exec()方法是最直接的外部命令执行方式，该方法有多个重载版本，可以接受字符串、字符串数组或File对象作为参数，执行简单的命令如dir（Windows）或ls（Linux）可以直接传入字符串：

try {
    Process process = Runtime.getRuntime().exec("dir");
    BufferedReader reader = new BufferedReader(new InputStreamReader(process.getInputStream()));
    String line;
    while ((line = reader.readLine()) != null) {
        System.out.println(line);
    }
    int exitCode = process.waitFor();
    System.out.println("Exit Code: " + exitCode);
} catch (IOException | InterruptedException e) {
    e.printStackTrace();
}

Runtime.exec()存在一些局限性，当命令包含参数时，直接拼接字符串可能导致命令注入漏洞，且难以处理复杂的命令结构。exec()方法不会自动处理命令的输入输出流，如果未及时读取子进程的输出流，可能导致进程阻塞，如果子进程输出大量数据而未读取，缓冲区满后进程会等待读取，从而造成死锁。

使用ProcessBuilder更灵活地管理进程

ProcessBuilder是Java 5引入的类，提供了比Runtime.exec()更强大的功能，它允许设置工作目录、环境变量，并更方便地重定向输入输出流，以下是使用ProcessBuilder的示例：

ProcessBuilder pb = new ProcessBuilder("ping", "-c", "4", "google.com");
pb.directory(new File("/tmp")); // 设置工作目录
Map<String, String> env = pb.environment();
env.put("VAR1", "value1"); // 设置环境变量
try {
    Process process = pb.start();
    BufferedReader reader = new BufferedReader(new InputStreamReader(process.getInputStream()));
    String line;
    while ((line = reader.readLine()) != null) {
        System.out.println(line);
    }
    int exitCode = process.waitFor();
    System.out.println("Exit Code: " + exitCode);
} catch (IOException | InterruptedException e) {
    e.printStackTrace();
}

ProcessBuilder的优势在于其灵活性，通过command()方法可以设置命令及其参数，避免字符串拼接问题；通过redirectInput()、redirectOutput()和redirectError()方法可以重定向输入输出流，例如将输出重定向到文件或合并错误流到输出流。ProcessBuilder提供了inheritIO()方法，可以将子进程的输入输出流与当前进程合并，简化交互式命令的处理。

处理输入输出流和异常

无论是Runtime.exec()还是ProcessBuilder，正确处理子进程的输入输出流都是关键，子进程的输出流（InputStream）和错误流（ErrorStream）需要及时读取，否则可能导致进程阻塞，通常建议使用单独的线程来读取输出流和错误流，

Thread outputThread = new Thread(() -> {
    try (BufferedReader reader = new BufferedReader(new InputStreamReader(process.getInputStream()))) {
        String line;
        while ((line = reader.readLine()) != null) {
            System.out.println("OUTPUT: " + line);
        }
    } catch (IOException e) {
        e.printStackTrace();
    }
});
Thread errorThread = new Thread(() -> {
    try (BufferedReader reader = new BufferedReader(new InputStreamReader(process.getErrorStream()))) {
        String line;
        while ((line = reader.readLine()) != null) {
            System.out.println("ERROR: " + line);
        }
    } catch (IOException e) {
        e.printStackTrace();
    }
});
outputThread.start();
errorThread.start();
process.waitFor();
outputThread.join();
errorThread.join();

需要捕获IOException和InterruptedException，并检查进程的退出值（exitValue()）以判断命令是否成功执行，如果子进程抛出异常（如命令不存在），Process对象会抛出IOException。

安全注意事项

执行外部命令时需注意安全性,避免命令注入攻击，如果命令参数来自用户输入，应避免直接拼接字符串，而是使用ProcessBuilder的参数列表形式，

// 危险：直接拼接用户输入
String userInput = "malicious; rm -rf /";
Runtime.getRuntime().exec("ls " + userInput); // 可能导致命令注入
// 安全：使用参数列表
String[] command = {"ls", userInput};
ProcessBuilder pb = new ProcessBuilder(command);

限制命令的权限,避免以高权限用户执行危险命令，并对输出结果进行验证和清理。

第三方库的使用

对于复杂的外部命令执行需求,可以考虑使用第三方库，如Apache Commons Exec或JSch（用于SSH执行），这些库提供了更高级的功能，如超时控制、流处理和异步执行，使用Apache Commons Exec：

Executor executor = new DefaultExecutor();
CommandLine cmdLine = new CommandLine("ping");
cmdLine.addArgument("-c");
cmdLine.addArgument("4");
cmdLine.addArgument("google.com");
executor.execute(cmdLine);

不同方法的比较

以下是Runtime.exec()和ProcessBuilder的对比：

相关问答FAQs

Q1: 为什么使用Runtime.exec()时子进程会阻塞？
A1: 通常是因为未及时读取子进程的输出流或错误流，子进程的输出缓冲区满了后会等待读取，导致进程阻塞，解决方案是使用单独的线程读取输出流和错误流，或使用ProcessBuilder的redirectOutput()方法重定向到文件。

Q2: 如何在Java中执行需要交互输入的命令（如ssh）？
A2: 可以通过Process的getOutputStream()方法获取输入流，向子进程发送输入。

Process process = Runtime.getRuntime().exec("ssh user@host");
try (OutputStreamWriter writer = new OutputStreamWriter(process.getOutputStream())) {
    writer.write("password\n");
    writer.flush();
}
// 读取输出流...

同时需要确保输入输出的线程同步,避免死锁。