直接用 alias 拦截 rm -rf 不可行，因 alias 仅重定义命令名，无法覆盖带参数组合；需用函数+alias 组合实现拦截、日志与人工确认。

直接用 alias 拦截 rm -rf 不可行，因为 alias 只能重定义命令名本身（如 rm），无法覆盖已带参数的组合（如 rm -rf）。但可以通过函数+alias 组合实现有效拦截，并配合日志记录，形成实用防护层。

用函数替代 rm-rf，强制人工确认

在 ~/.bashrc 或 /etc/bash.bashrc 中定义函数，再用 alias 将常见误输变为主动提醒：

• 添加如下代码：

rmrf() {
  echo "⛔ 检测到高危操作：rm -rf $*" >&2
  logger -t "alias-guard" "USER:$(whoami) HOST:$(hostname) CMD:rm -rf $*"
  echo "请改用以下任一方式：" >&2
  echo " • 确认后手动执行：command rm -rf \"\$@\"" >&2
  echo " • 使用安全删除工具：trash \"\$@\"（需先安装 trash-cli）" >&2
}

• 再设置别名：alias rm-rf='rmrf'、alias 'rm -rf'='rmrf'（后者在部分 Shell 中不生效，推荐前者）
• 这样输入 rm-rf /tmp/test 或 rm -rf /tmp/test（若 Shell 支持）都会触发函数

统一接管 rm 命令，加日志+参数校验

更彻底的做法是让所有 rm 调用都经过自定义逻辑，既能记录又能拦截危险模式：

• 定义函数：

safe_rm() {
  # 记录完整命令行
  logger -t "safe-rm" "USER:$(whoami) PWD:$(pwd) ARGS:$*"
<h1>拦截显式含 -rf 的调用</h1><p>if [[ "$<em>" == </em>"-rf"<em> ]] || [[ "$</em>" == <em>"-Rf"</em> ]] || [[ "$<em>" == </em>"-rF"* ]]; then
echo "❌ 明确拒绝 rm -rf 类操作。详情见 /var/log/syslog 中 safe-rm 日志。" >&2
return 1
fi</p><h1>允许其他安全模式（如 -i、-I、--one-file-system）</h1><p>command rm "$@"
}</p>

• 启用：alias rm='safe_rm'
• logger 会将记录写入系统日志（/var/log/syslog 或 journald），便于审计

确保生效与验证方式

配置完成后需重载并验证是否真正起作用：

• 运行 source ~/.bashrc（用户级）或 sudo source /etc/bash.bashrc（全局）
• 检查是否加载：type rm 应显示 “rm is aliased to ...”；type rmrf 应显示 “is a function”
• 测试拦截：rm-rf /dev/null 或 rm -rf ./test 应输出警告而非执行
• 查日志：journalctl -t "safe-rm" -n 10 --no-pager 或 grep "alias-guard" /var/log/syslog

补充建议：与系统审计联动

单纯依赖 alias 函数有绕过可能（如用 \rm -rf 或 command rm -rf）。建议叠加基础防护：

• 启用 Linux auditd，监控 /bin/rm 执行：auditctl -a always,exit -F path=/bin/rm -F perm=x
• 堡垒机或运维平台中同步配置高危命令模板（如匹配 rm.*-rf 正则），实现双保险
• 关键服务器上禁用 root 直接登录，所有敏感操作走 sudo + 日志审计