linux shell全局变量安全管理核心在于控制可见范围、防篡改及阻断注入攻击：严格区分shell变量（仅当前进程有效）与export导出的环境变量（被子进程继承）；重置path、unset ld_preload等高危变量；限制配置文件权限为644且root属主；运行时校验变量合法性并启用auditd审计。

Linux Shell 环境下的全局变量安全管理，核心在于控制变量的可见范围、防止意外或恶意篡改，并阻断通过变量注入实施的攻击。全局变量（即环境变量）一旦被污染，可能影响整个进程树，小到命令执行错位，大到提权或远程代码执行。

明确区分 shell 变量与环境变量

shell 变量仅在当前 shell 进程内有效，不传递给子进程；环境变量则通过 export 显式导出后，会被所有子进程继承。误将敏感值（如密码、路径）设为环境变量，等于向所有下游命令“广播”该信息。

• 定义局部变量：CONFIG_DIR="/opt/app/conf" —— 仅当前 shell 可见
• 导出为环境变量：export CONFIG_DIR —— curl、python3、mysqld 等均能读取
• 检查是否已导出：env | grep CONFIG_DIR 或 printenv CONFIG_DIR
• 脚本中应避免无条件 export 用户输入或配置项，除非明确需要跨进程共享

严格限制 PATH 和动态加载类变量

PATH、LD_LIBRARY_PATH、LD_PRELOAD 是攻击面最广的环境变量。它们直接影响程序行为，且极易被劫持。

Zynq Linux Hardware Debug

Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。

下载

• 脚本开头立即重置 PATH：PATH="/usr/bin:/bin:/usr/sbin:/sbin"，剔除用户目录（如 ~/bin）和非标准路径
• 显式清除高危变量：unset LD_PRELOAD LD_LIBRARY_PATH PYTHONPATH PERL5LIB
• 调用关键命令时优先使用绝对路径（如 /bin/cp），或用 command -v cp 校验存在性后再执行
• 禁止在启动服务前由不可信上下文设置这些变量（例如通过 web 接口传参后 export）

权限与作用域最小化控制

全局变量的生命周期和访问范围必须受控。不应让任意用户都能修改系统级环境变量，也不应让脚本以过高权限运行却继承宽松的环境。

• 系统级配置文件（如 /etc/profile、/etc/environment）权限设为 644，属主 root，禁止组和其他用户写入
• 用户级配置（如 ~/.bashrc）中 export 的变量，仅对该用户生效；若需多用户共享，应创建专用组并限制文件权限（如 640）
• 敏感脚本执行前，用 sudo -E -u nobody 测试是否仍可执行——若成功，说明环境未被正确隔离
• 容器或 systemd service 中，通过 Environment= 或 UnsetEnvironment= 显式声明/清空变量，不依赖宿主环境

运行时校验与审计机制

静态配置不能替代运行时防护。对关键变量应做存在性、合法性、完整性三重校验。

• 检查变量是否为空或含非法字符：[[ -n "$HOME" ]] && [[ "$HOME" = /* ]] || exit 1
• 验证路径是否存在且权限合理：[[ -d "$HOME/.ssh" ]] && [[ "$(stat -c '%a' "$HOME/.ssh")" == "700" ]]
• 使用 auditd 监控 /etc/environment、/etc/profile.d/ 下文件变更
• 定期执行 env | sort 与基线比对，识别异常新增或覆盖项