Shellharden 安全重写

你要解决的问题

Shell 脚本里的引号问题，往往不是语法错误那么简单。一个没加引号的变量展开，可能在路径包含空格时直接让脚本崩掉；一个没转义的特殊字符，可能在 CI 里才暴露出来，而此时代码已经合并。更麻烦的是，这类问题通常潜伏在看似运行良好的脚本中，直到某次重构或环境变更才突然发作。

常见的脆弱模式包括：未加引号的变量引用、命令替换中的特殊字符、缺乏输入校验的模式匹配等。这些写法在开发环境可能一切正常，但在 CI 或生产环境里，一个包含空格或通配符的输入就能让整条命令偏离预期。

技能如何工作

这个技能以 Shellharden 作为核心引擎，对已有的 shell 脚本做静态检查，并支持自动修复。它的工作方式可以分为几个关键步骤：

• 扫描脚本：读取目标 shell 脚本，逐行分析命令中的引号使用和模式匹配。
• 识别问题：标记未加引号的变量展开、不安全的命令替换、以及其他可能导致行为变化的写法。
• 自动修复：在明确安全的情况下直接改写，将脆弱的引号替换为更严格的写法，减少人工介入。
• 展示 tricky case：通过一个展示更棘手场景的示例脚本，演示特殊用例的处理方式。

技能文档提取自 Shellharden 上游 README，并整理了典型示例，方便你在动手前先理解工具的判断逻辑。

适用边界与注意点

这个技能面向的是基于 Bash 的 shell 脚本，不适用于其他 shell 方言。自动修复只能处理它能明确判断的场景，遇到复杂逻辑或嵌套引用时，仍然需要你人工确认改动是否合理。

另外，Shellharden 的规则偏保守，它会优先保证安全性而非最小改动，因此部分修复可能会让你觉得「过度加引号」。这属于设计取舍，不是 bug。

如果你的脚本大量依赖未定义行为或动态拼接命令，建议先做一轮人工审查，再交给工具处理。