sed -i.bak 可安全修改原文件并原子化生成备份，避免误操作导致原始内容丢失；必须加 .bak 后缀才能触发备份，仅 -i 会直接覆盖；按行号、上下文或段落限定范围可精准替换；需转义特殊字符并预览验证。
用 sed -i.bak 就能安全地把修改直接写入原文件，同时自动生成备份——它不是“先改再备份”，而是“改之前就存好原始副本”，哪怕命令写错、正则崩了、替换空了，原始配置依然完好。
为什么必须带 .bak 而不是只用 -i
单纯 sed -i 's/.../.../' file 会跳过备份，直接覆盖原文件。一旦正则漏转义（比如路径里的 /）、多匹配了不该动的行、或变量展开出错，原始内容就永久丢失。
加了 .bak 后，sed 会在执行任何修改前，原子化地复制一份 file.bak。这个备份动作和修改是绑定的：要么都成功，要么都不发生，不存在“只备份没改”或“只改没备份”的中间状态。
怎么确保改得准、不误伤
- 按行号改最稳妥：比如知道 SSH 端口固定在第 22 行，就用
sed -i.bak '22s/#Port 22/Port 2222/' /etc/ssh/sshd_config - 按上下文定位更灵活：想改
# SSL Certificate下一行的证书路径，用sed -i.bak '/# SSL Certificate/{n;s|/old/cert.pem|/new/cert.pem|}' ssl.conf - 限定段落内操作：只在
[mysqld]段中改 bind-address，写成sed -i.bak '/^\[mysqld\]$/,/^\[/ s/^bind-address = .*/bind-address = 127.0.0.1/' my.cnf
特殊字符处理不翻车
密码、路径、变量里常含 /、.、$ 这类 sed 元字符，不处理就会报错或改错位置：
- 路径含
/？换分隔符，用|或#：sed -i.bak 's|^datadir = .*|datadir = /var/lib/mysql|' my.cnf - IP 或域名含点号？
.必须写成\.：sed -i.bak "s/192\.168\.1\.1/$NEW_HOST/" app.conf - 变量里有
/或$？单引号包住主体，变量用双引号拼接：sed -i.bak 's|password = .*|password = '"$DB_PASS"'|' /etc/db.conf
动手前必须做的三件事
- 先预览效果：去掉
-i，只运行sed '/^log_level =/p' -n config.ini，确认只命中目标行 - 检查备份是否生成：执行后立刻
ls -l *.bak，看时间戳是否最新、大小是否和原文件一致 - 留痕记录操作：把完整命令写进运维日志，比如
2026-07-22 03:25 sed -i.bak 's/DEBUG/INFO/g' /var/log/app.conf # 降低日志级别
