shell安全修复脚本需遵循“精准识别+安全执行+可回溯验证”原则：先判断状态（如ssh密码登录、root登录、空密码账户、关键文件权限），再带备份、校验、失败退出机制执行修复，最后验证生效并记录日志，支持模块化、灰度执行与人工确认。
用Shell脚本实现服务器安全合规性自动修复，核心在于“精准识别 + 安全执行 + 可回溯验证”。不能盲目批量改配置，必须先判断当前状态，再按策略修复，最后确认生效。重点不是功能多，而是每一步都可控、可审计、不引发服务中断。
识别常见合规项并做状态判断
自动修复的前提是准确判断是否违规。例如：
- SSH密码登录是否开启：检查 /etc/ssh/sshd_config 中 PasswordAuthentication 值是否为 yes，同时确认服务是否重载
- root远程登录是否允许：检查 PermitRootLogin 是否为 yes（非without-password或no）
- 系统账户空密码：用 awk -F: '$2 == "" {print $1}' /etc/shadow 扫描，并排除系统保留账户（如sync、halt）
- 关键文件权限过宽：如 /etc/shadow 应为 000 或 040，用 stat -c "%a %n" /etc/shadow 判断
修复操作必须带条件和备份
所有写入类操作必须满足三个条件：有备份、有变更前校验、有失败退出机制。
- 修改配置前执行：cp -a /etc/ssh/sshd_config /etc/ssh/sshd_config.$(date +%s).bak
- 使用 sed -i 前加判断，例如只在匹配行存在且值为 yes 时才替换：grep -q "PasswordAuthentication[[:space:]]*yes" /etc/ssh/sshd_config && sed -i 's/^[[:space:]]*PasswordAuthentication.*/PasswordAuthentication no/' /etc/ssh/sshd_config
- 每次修改后调用 sshd -t 验证语法，失败则还原备份并报错退出
修复后必须验证+记录
修复完成不等于生效。需主动验证结果，并留下操作痕迹：
- 重启服务后检查监听状态：ss -tlnp | grep :22 确认 sshd 进程仍在运行
- 重新读取配置后测试连接逻辑（如用非 root 账户尝试 SSH 密码登录，预期应拒绝）
- 将操作时间、修复项、前后状态、执行用户写入统一日志，例如：echo "$(date) | DisablePasswordAuth | was:yes → now:no | by:$(whoami)" >> /var/log/secfix.log
设计成可选模块+灰度执行
生产环境严禁“一键全修”。脚本应支持按需启用模块，并预留人工确认环节：
- 用参数控制行为：./secfix.sh --disable-password --lock-empty --dry-run 先预览不执行
- 高危操作（如禁用 root 登录）默认跳过，需显式加 --force-root-disable
- 支持指定配置文件路径（适配容器或chroot环境），避免硬编码 /etc
- 修复失败时输出明确错误原因（如“/etc/shadow 权限无法修改：只读文件系统”），而非静默忽略
