mentre capisco che l'iniezione del comando OS deve avere l'input non attendibile per essere convalidato, vedo che le persone suggeriscono di usare ProcessBuilder(...).start() su Runtime.getRuntime().exec(..) ; questo perché ProcessBuilder non accetta che il comando sia eseguito come una singola stringa?