Then, it is still possible, in my opinion, to get an acceptable level of security by only using command not prone to shell escape, AND, you will absolutely also need to filter user input.

Something like the following: (not tested at all)
#!/bin/sh
# Script: /usr/local/bin/wrapper.sh
export VAR_CLEAN=”`echo “${SSH_ORIGINAL_COMMAND}” | tr -cd ‘[:alnum:] [:space:]‘`”
case “${VAR_CLEAN}” in
“ps”)
ps -ef
;;
“vmstat”)
vmstat 1 100
;;
“cups stop”)
/etc/init.d/cupsys stop
;;
“cups start”)
/etc/init.d/cupsys start
;;
*)
echo “Sorry. Only these commands are available to you:”
echo “ps, vmstat, cupsys stop, cupsys start”
exit 1
;;
esac

Wir erfinden das Rad immer wieder neu, aber jedes mal mit mehr Ecken! Wenn wir unendlich viele Ecken haben wird es sicher perfekt rollen. Keiner Kommt auf die Idee dass ein Rad ohne Ecken vlt. auch rollen könnte.