Go os/exec.Cmd.String 生成可读命令描述的使用边界

Cmd.String() 只生成供人阅读的调试描述，不能当成可执行的shell命令，也不应作为稳定的序列化格式。我的使用原则是：临时看命令轮廓可以用String；需要保留参数边界时记录结构化字段，需要真正调用程序时保留原始命令配置。

官方接口：https://pkg.go.dev/os/exec#Cmd.String。官方契约明确其输出可能随Go版本变化，因此不要依靠描述文字重建执行信息。

先确定描述给谁看

以素材目录工具为例，一个标签值可能包含空格，而筛选模式可能包含星号。开发者看到一行命令描述时，容易把它理解成能复制到终端的一串字符；但字符串展示并不承担shell解析规则。

把命令信息拆成三个用途更好管理：“命令配置”包含 Cmd、Path、Args；“调试描述”包含 String、可读文本；“结构记录”包含 JSON视图。Cmd持有Path与Args，String描述Cmd，JSON视图选择性保存字段。两种展示方式都不是执行引擎。

用完整示例保留命令对象的结构

下例只创建一个Cmd对象并输出描述，没有调用Run或Start；不要求示例路径真实存在。它适合观察参数的表示方式，不能据此宣称程序已经执行成功。本文也不提供本机运行记录。

package main

import (
    "encoding/json"
    "fmt"
    "os"
    "os/exec"
)

func main() {
    // 只构造演示对象，不启动外部程序；路径是虚构示例。
    cmd := &exec.Cmd{
        Path: "/demo/bin/catalog",
        Args: []string{"catalog", "--label", "cover mobile", "--pattern", "*.png"},
        Dir: "/demo/work",
    }
    // 本例参数都是公开演示值，描述仅用于人阅读。
    fmt.Printf("debug description=%q\n", cmd.String())
    fmt.Printf("path=%q args=%q dir=%q\n", cmd.Path, cmd.Args, cmd.Dir)

    // JSON保留切片边界，作为展示记录，不声称是完整执行快照。
    view := struct {
        Path string   `json:"path"`
        Args []string `json:"args"`
        Dir  string   `json:"dir"`
    }{
        Path: cmd.Path,
        Args: append([]string(nil), cmd.Args...),
        Dir: cmd.Dir,
    }
    data, err := json.Marshal(view)
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    fmt.Println(string(data))
}

cover mobile 是Args中的一项，*.png 也是一项。用 %q 输出切片或用JSON编码，可以帮助阅读者识别元素边界；这种表示仍需按相应格式读取，不能直接当成shell语句。

本例保留Dir用于说明工作目录。Path是目标路径，Args还包含作为程序名称的首项；构造执行对象时应区分这些字段的职责。结构记录只选择了三个字段，没有覆盖环境、输入输出等全部执行上下文。

描述字符串不能承担命令重建

普通os/exec调用不会自动使用系统shell，也不会自动展开通配符、管道或重定向。目标程序可能自行解释参数，但那是目标程序的协议。把描述重新交给shell，相当于引入新的解释层，不能假定与原来的Args等价。

源码可以帮助理解当前实现：https://go.dev/src/os/exec/exec.go。但即使某个版本的结果看起来像“路径加空格分隔的参数”，也不能把实现细节提升为长期契约。尤其不要用 strings.Fields(cmd.String()) 恢复参数；带空格的单个参数可能被拆开。

日志使用独立的脱敏视图

String不会替应用判断哪些参数能进入日志。若真实参数包含敏感值，直接打印完整描述可能暴露它们。我会根据工具自己定义的参数协议建立日志视图，再选择允许的字段；不能用一条通用替换规则声称覆盖所有程序。

下面是函数体内的独立片段：假设某个工具协议明确规定Args[2]是需要隐藏的值，才按这个位置处理；它不是前面标签示例的通用规则。

// args来自自己定义的参数协议；这里只按已知位置隐藏值。
logArgs := append([]string(nil), cmd.Args...)
if len(logArgs) > 2 {
    logArgs[2] = "[redacted]"
}
// 仅输出副本，不能为了日志修改cmd.Args中的真实参数。
fmt.Printf("program=%q args=%q\n", cmd.Path, logArgs)

这里有三个分组：“执行配置”包含 cmd.Args；“日志准备”包含 logArgs、隐藏值；“日志展示”包含 字段输出、阅读者。logArgs复制cmd.Args，隐藏值仅作用于副本，字段输出面向阅读者。日志处理不应改掉真实Args。

如果值可能出现在 --key=value、位置参数或其他配置来源里，隐藏策略必须覆盖实际协议。本例只演示副本与真实参数的分离，没有实现通用秘密识别器。日志也不应被当成能直接执行的任务队列。

常见问题

String返回正常文字，说明命令存在吗？

不说明。它是描述，不是可执行文件存在、可访问或成功启动的证明；本例使用虚构路径仍可构造对象。

能把String结果存入数据库以后重放吗？

不适合作为重放格式。应设计明确的数据结构和版本，保存允许保留的字段，并另外处理环境、权限及执行上下文。

给整行加引号就能恢复原命令吗？

不能通用恢复。shell、平台与目标程序各有规则；原始参数的元素边界应在生成时保留，而不是事后猜测。