守护你的终端（Linux Shell输入过滤入门指南）

什么是输入过滤？

输入过滤是指对用户或外部提供的数据进行检查、清理或限制，确保其符合预期格式或内容，从而防止恶意代码执行或系统被滥用。在 Shell 脚本中，这通常包括：

• 验证输入是否为数字
• 限制输入长度
• 移除或转义特殊字符（如 ;, &, |, $ 等）
• 拒绝包含路径符号（如 .. 或 /）的字符串

为什么需要输入过滤？

假设你写了一个脚本，让用户输入文件名来查看内容：

#!/bin/bashecho "请输入要查看的文件名："read filenamecat $filename

如果用户输入 important.txt; rm -rf /，那么实际执行的命令会变成：

cat important.txt; rm -rf /

这可能导致灾难性后果！因此，Shell安全防护 的第一步就是对所有外部输入进行严格过滤。

实用的输入过滤方法

1. 只允许数字输入

使用正则表达式验证是否为纯数字：

#!/bin/bashread -p "请输入一个数字: " inputif [[ $input =~ ^[0-9]+$ ]]; then    echo "输入有效：$input"else    echo "错误：只允许输入数字！"    exit 1fi

2. 过滤危险字符

可以使用参数扩展或 sed 移除或替换特殊字符：

# 方法一：使用参数扩展删除非字母数字字符safe_input=${input//[^a-zA-Z0-9]/}# 方法二：用 sed 转义特殊字符safe_input=$(echo "$input" | sed 's/[^a-zA-Z0-9._-]/_/g')

3. 限制文件名（防止路径遍历）

确保用户不能输入 ../ 或绝对路径：

filename=$(basename "$input")  # 只保留文件名部分if [[ "$filename" != "$input" ]]; then    echo "错误：不允许使用路径！"    exit 1fi

最佳实践建议

• 永远不要信任用户输入 —— 即使是内部脚本。
• 使用引号包裹变量：始终写成 "$var" 而不是 $var。
• 避免在 eval、system() 等函数中直接使用原始输入。
• 学习并应用 Bash输入过滤技巧，如使用 case 语句做白名单匹配。

结语

通过简单的输入验证和过滤，你可以大幅提升 Shell 脚本的安全性和稳定性。无论是自动化运维还是日常任务，命令行输入验证 都是你必须掌握的基础技能。从今天开始，在你的每个脚本中加入输入检查吧！

记住：安全不是功能，而是习惯。