关键操作前必须用 read -p 强制交互确认，校验输入值（如 yes），结合 [ -t 0 ] 判断终端环境；脚本开头启用 set -euo pipefail；敏感操作须通过 sudoers 精确授权的独立封装命令执行，确认提示须与实际动作严格一致。
关键操作前必须加 read -p 交互确认
Linux 脚本一旦执行删除、覆盖、重启、权限提升等动作，就无法撤回。靠注释或文档提醒用户“请谨慎运行”没用，真正有效的只有在脚本运行到危险节点时，强制暂停并等待明确输入。最直接的做法是用 read -p 搭配条件判断——不输入预设值（比如 y 或 YES）就 exit 1。
常见错误是只写 read -p "确定吗？" 却不校验输入内容，用户随便敲个空格或 n 也继续往下走；或者用 read -n1 等单字符但没处理大小写和回车残留，导致逻辑错乱。
read -p "即将清空 /var/log/nginx/*.log，确认执行？(输入 YES 大写) " confirm- 用
[[ "$confirm" != "YES" ]]判断，避免=在某些 shell 下的兼容问题 - 确认提示里必须写明具体路径或影响范围，不能只说“继续吗？”
- 如果脚本可能被非交互式调用（如 cron 或管道），需提前检查
[ -t 0 ]判断 stdin 是否为终端，不是则直接退出或跳过确认
用 set -e 和 set -u 防止静默失败
确认只是第一道关卡，脚本本身还得足够“老实”。set -e 让任意命令失败时立即终止，set -u 让未定义变量引用直接报错——这两条能拦住很多因路径不存在、变量拼错、命令未安装导致的误操作蔓延。
比如你写了 rm -rf "$LOG_DIR/*"，但 $LOG_DIR 拼错为空，结果变成 rm -rf "/*"，set -u 就会在这一行炸出来，而不是让错误继续扩散。
- 把
set -euo pipefail放在脚本开头（#!/bin/bash下一行） -
pipefail很关键：否则cmd1 | cmd2中 cmd1 失败但 cmd2 成功，整个 pipeline 还算成功 - 若某处确实需要忽略错误（比如检查某个文件是否存在），用
cmd || true显式声明，别依赖默认行为 - 确认步骤本身也要受
set -e约束，比如read被中断（Ctrl+C）会返回非零，脚本应自然退出
敏感操作必须用 sudo 显式提权，且限制到最小命令集
脚本里直接写 rm -rf /etc/nginx 是高危行为，更危险的是用 sudo su -c "..." 或 sudo bash -c 包裹一长串命令——这等于把 root shell 的控制权交给了脚本字符串，极易被环境变量、参数注入绕过。
正确做法是：每个需要特权的操作单独封装成独立脚本（如 /usr/local/bin/safe-nginx-restart），再通过 sudoers 精确授权。这样确认环节和执行环节完全分离，用户看到的是“你要重启 Nginx 吗”，而不是“你要执行一段 shell 代码吗”。
- 不要在主脚本里写
sudo systemctl restart nginx，而是调用已授权的封装命令sudo safe-nginx-restart - 封装脚本本身要校验参数，禁止传入路径、选项等可变内容，只做固定动作
-
sudoers条目必须用绝对路径，禁用通配符，例如deploy ALL=(root) NOPASSWD: /usr/local/bin/safe-nginx-restart - 确认提示语应与最终执行动作严格一致，比如提示“将重启 Nginx 服务”，就不能实际去 reload 或 stop
确认逻辑不能绕过，尤其当脚本被 source 或嵌套调用时
很多人把安全确认写成函数，然后在其他脚本里 source 进来复用。问题在于：如果调用方用了 set +e 或重定向了 stdin（比如 ./script.sh ），确认就会自动跳过——而用户根本意识不到。
更隐蔽的是，有些脚本用 if [[ $AUTO_CONFIRM ]]; then ... else read ... fi，结果 $AUTO_CONFIRM 被环境变量污染，或被上层脚本意外导出，导致生产环境静默执行高危操作。
- 确认逻辑内部应主动检测
[ -t 0 ]，不满足则报错退出，不提供“自动模式”后门 - 避免用全局变量控制是否跳过确认，所有开关都应来自显式参数（如
--force），且需在帮助里明确警告风险 - 如果脚本支持被
source，确认函数必须用return而非exit，否则会退出整个 shell 会话 - 测试时一定要模拟非交互场景：
echo n | ./safe-delete.sh应该失败，./safe-delete.sh 也应该失败
真正的安全不是加一层确认弹窗，而是让“跳过确认”这件事本身变得比执行操作还麻烦。所有绕过路径都要堵死，包括环境变量、重定向、子 shell、source 加载——这些地方最容易被忽略，也最常成为线上事故的起点。
