调试技巧与安全防护

# 全程追踪
bash -x script.sh

# 脚本内局部开启
set -x          # 打开追踪
# ... 要跟踪的段落
set +x          # 关闭追踪

# 定制追踪前缀：显示行号与函数名
export PS4='+ ${BASH_SOURCE}:${LINENO}:${FUNCNAME[0]}: '
set -x

# 示例：看变量展开真相
x="a b"
set -x
echo "$x"      # + echo 'a b' → 一眼看出引号是否生效
set +x

# 每执行一条命令前打印行号与当前内容
trap 'printf "-> %s:%s %s\n" "$BASH_SOURCE" "$LINENO" "$BASH_COMMAND"' DEBUG

# 条件断点：某个条件成立才停
trap 'if [[ $count -eq 10 ]]; then set -x; fi' DEBUG

# 语法检查先行
bash -n script.sh || echo "有语法错误"
# 只跑某个函数（提取测试）
source lib.sh && parse_version "v1.2"

# 未定义变量（set -u 下）
unset_var            # 报 unbound variable
# 引号缺失导致参数错位
args="a b c"
call "$args"         # 变成 3 个参数
# 命令找不到
foocommand           # command not found
# 逻辑错误：空格判断
[[ $x = "a b" ]]     # 没引号会被分词

# 排查技巧
type -a awk           # 看命令解析到哪个路径
command -v jq         # 是否存在
env | grep -i proxy   # 环境变量干扰排查

# 危险：eval 会二次解析展开后的文本，$var 里的命令被真正执行
var='x; rm -rf /'
eval "echo $var"        # ❌ 注入！等价于执行: echo x; rm -rf /
eval "echo ${var}"      # ❌ 同样注入，eval 绝不能接外部数据

# 安全：普通展开不二次解析，双引号只作字面量
echo "$var"             # ✅ 打印字面量 x; rm -rf /
echo "${var}"           # ✅ 同上

# 危险：不加引号时通配符与分词生效，可能误伤
pattern='*.log'
rm $pattern             # ❌ 通配符展开，可能删除意料之外的文件
rm "$pattern"           # ✅ 按字面量处理

# 危险场景：把变量塞进 eval
eval "echo $var"        # var 含 ; 或 $() 即注入 → 禁用 eval
# 安全替代：不要 eval，直接展开
echo "$var"

# 通配符注入：禁止 glob 展开
set -f                  # 关闭文件名展开
echo "$pattern"
set +f

# 数字白名单
[[ "$input" =~ ^[0-9]+$ ]] || die "非数字: $input"

# 枚举白名单
case "$env" in dev|test|prod) ;; *) die "非法环境";; esac

# 路径消毒：拒绝 ../ 与特殊字符
[[ "$path" =~ ^[a-zA-Z0-9_./-]+$ ]] || die "非法路径"

# 长度限制
[[ ${#input} -le 64 ]] || die "输入过长"

# 从文件读取也要防：IFS 保留整行防换行注入
while IFS= read -r line; do
  [[ "$line" =~ ^[A-Za-z0-9]+$ ]] || continue
  echo "处理: $line"
done < user_list.txt

# 安全临时文件
tmpdir=$(mktemp -d)           # /tmp/tmp.XXXXXX 不可预测
tmpfile=$(mktemp)             # 普通临时文件
trap 'rm -rf "$tmpdir"' EXIT  # 用完必清

# 更安全的做法：工作目录放 /tmp 之外的私有目录
# 但 mktemp 已足够抵御常见攻击

umask 077
secret_file=$(mktemp)
echo "$password" > "$secret_file"   # 只有自己能读
chmod 600 "$secret_file"

# 检查脚本是否被篡改：仅允许特定属主执行
owner=$(stat -c %U "$0")
[[ "$owner" == "root" ]] || { echo "脚本属主异常"; exit 1; }

# 绝不把密码打印到日志
# 错误：log "password=$PASS"
# 正确：脱敏
log "连接数据库（已用环境变量注入）"

# 审计关键动作
audit() {
  printf '%s %s 执行: %s\n' "$(date '+%F %T')" "${SUDO_USER:-$USER}" "$*" >> /var/log/audit.log
}
audit "deploy" "$env" "$app"

# 环境变量注入而非命令行参数（避免 ps 泄露）
export DB_PASS="${DB_PASS:?}"
psql -h "$DB_HOST" -U "$DB_USER" -c "SELECT 1"   # 密码不进 ps

# 命令行里避免明文
# 坏：mysql -p secret
# 好：mysql -p"$MYSQL_PWD" 或 .my.cnf（600）