linux中shell读取密码最常用可靠方式是read -s命令，禁用终端回显且不依赖外部工具；基础用法为read -s -p "提示" 变量名，需手动换行并加双引号引用变量，生产环境建议增加超时、空值及长度校验。
Linux中Shell读取密码输入且不回显，最常用、最可靠的方式是用 read -s 命令，它直接禁用终端回显，输入过程完全不可见，也不依赖外部工具或复杂配置。
基础用法：read -s 配合 -p 提示
这是日常脚本中最简洁安全的做法：
-
read -s -p "密码: " passwd：-s 关闭回显，-p 显示提示，输入内容存入变量
passwd - 输完需手动换行（因为 -s 不自动加换行），建议后续加
echo换行，避免光标卡在提示符后 - 变量使用时务必加双引号：
echo "验证密码长度：${#passwd}"，防止空格或特殊字符引发错误
增强健壮性：超时、空值、长度校验
生产环境建议补充控制逻辑，避免卡死或无效输入：
- 设 10 秒超时：
if ! read -s -t 10 -p "请输入密码（10秒）: " passwd; then echo "超时退出"; exit 1; fi - 拒绝空密码：
[[ -z "$passwd" ]] && { echo "密码不能为空"; exit 1; } - 限制长度（如最多 32 位）：
[[ ${#passwd} -gt 32 ]] && { echo "密码过长"; exit 1; }
进阶场景：与 Expect 配合传密码（不走命令行）
当需要把密码交给 expect 脚本自动登录远程服务时，绝不能用 expect script.exp "$passwd" —— 这会让密码出现在 ps 和历史记录里。
- 正确做法：用 here-document 把密码传给 expect 的 stdin
- Bash 中：
expect script.exp - Expect 脚本内：
gets stdin password，再用$password匹配交互流程 - 全程无命令行参数、无环境变量、无日志拼接，密码仅驻留内存
替代方案：stty 控制终端回显（兼容老 Shell）
某些极简环境（如 ash、dash）不支持 read -s，可用 stty 手动开关回显：
-
stty -echo关闭回显 →read -p "密码: " passwd→stty echo恢复 - 注意必须成对使用，异常退出时要用 trap 恢复，否则终端会持续不显示输入
- 推荐加保护：
trap 'stty echo 2>/dev/null' EXIT
不复杂但容易忽略。核心就一条：让密码不经过命令行、不进环境变量、不写日志，read -s 是绝大多数情况下的首选。其他方式都是为兼容性或集成 Expect 等工具做的延伸。
