守护你的脚本安全（Linux Shell输入验证入门指南）

为什么需要输入验证？

想象一下，你写了一个备份脚本，让用户输入要备份的文件名：

#!/bin/bashread -p "请输入要备份的文件名: " filenamecp "$filename" backup/

看起来没问题？但如果用户输入的是 ; rm -rf / 呢？虽然在这个例子中因为引号保护不会执行，但在其他场景（如未加引号或使用 eval）就可能造成灾难性后果。因此，Linux Shell输入验证 是保障脚本安全的第一道防线。

基础验证方法

1. 检查输入是否为空

最简单的验证就是确保用户没有直接按回车：

#!/bin/bashwhile true; do  read -p "请输入用户名: " username  if [[ -z "$username" ]]; then    echo "错误：用户名不能为空！"  else    break  fidoneecho "你好，$username！"

2. 验证输入是否为数字

如果你期望用户输入一个年龄或数量，可以用正则表达式检查是否只包含数字：

#!/bin/bashread -p "请输入您的年龄: " ageif ! [[ "$age" =~ ^[0-9]+$ ]]; then  echo "错误：请输入一个有效的正整数！"  exit 1fiecho "您的年龄是 $age 岁。"

3. 限制输入长度

防止缓冲区溢出或异常长的输入：

#!/bin/bashread -p "请输入昵称（最多10个字符）: " nicknameif (( ${#nickname} > 10 )); then  echo "错误：昵称不能超过10个字符！"  exit 1fi

4. 白名单验证（推荐）

只允许特定字符，比如字母、数字和下划线：

#!/bin/bashread -p "请输入项目名称（仅限字母、数字、下划线）: " projectif ! [[ "$project" =~ ^[a-zA-Z0-9_]+$ ]]; then  echo "错误：项目名称只能包含字母、数字和下划线！"  exit 1fi

高级技巧：避免命令注入

永远不要直接将用户输入拼接到命令中，尤其是使用 eval 或未加引号的变量。正确的做法是使用参数化方式，并配合 Shell脚本安全 最佳实践：

# 错误示例 ❌command="ls -l $user_input"eval $command# 正确示例 ✅ls -l -- "$user_input"  # 使用 -- 防止选项注入

总结

通过简单的输入检查，你可以大幅提升脚本的健壮性和安全性。记住以下几点：

• 永远验证 用户输入检查 是否符合预期格式；
• 使用白名单而非黑名单；
• 避免使用 eval 和动态命令拼接；
• 对文件路径、命令参数等敏感输入格外小心。

掌握这些基础的 Bash输入验证 技巧，你就能写出更安全、更可靠的 Shell 脚本了！